En bref : Méthodologie correspondances TGV : trois niveaux de confiance distinguent un critère de la grille d’une exigence d’un autre référentiel, de l’équivalence stricte au simple renvoi contextuel. Notre cartographie interne recense 1302 correspondances qualifiées entre les 382 critères TGV et 13 référentiels, dont seulement 72 sont des équivalences strictes.
Le 28 juillet 2026, Factero a remis à Santé Québec une matrice de correspondance entre la grille TGV et treize référentiels de conformité reconnus à l’international. L’orientation du MSSS qui encadre la certification TGV (publication 24-715-38W) ne prescrit aucune méthode pour établir ce genre de correspondance : c’est un terrain que chaque cabinet qui s’y aventure doit baliser lui-même. Voici comment nous l’avons balisé, sans prétendre être les premiers à le faire.
Le chiffre de 1302 a d’abord besoin d’un vocabulaire avant d’avoir besoin d’un pourcentage. Cet article installe ce vocabulaire : ce que nous appelons une correspondance qualifiée, ce qui distingue un recoupement d’une équivalence stricte, et comment lire le double décompte qui sert de base à toute la suite de cette série sur la TGV et ses référentiels comparés.
Si vous découvrez ce chiffre pour la première fois, notre guide La TGV face à 13 référentiels en présente la vue d’ensemble. Ici, on ouvre le capot.
Dans cet article
Méthodologie correspondances TGV : pourquoi une telle précision ?
Le mot « correspondance » s’utilise à peu près n’importe comment dans le marketing de la conformité. Une entreprise annonce qu’elle est « alignée » sur un référentiel, une autre qu’elle « couvre » un pourcentage d’une norme, sans jamais préciser ce que l’opération de comptage mesure réellement. Deux cartographies du même couple de référentiels peuvent alors afficher des pourcentages de couverture qui s’écartent du simple au double, selon la rigueur de qui a compté.
Notre cartographie répond à cette ambiguïté par une règle simple : aucune correspondance n’entre dans le décompte sans un niveau de confiance assigné. Ce niveau se documente critère par critère, pas par référentiel entier. C’est ce qui rend le chiffre de 1302 vérifiable plutôt qu’annoncé, et c’est ce qui permettra, quand la cartographie sera publique, à quiconque de contester une correspondance précise plutôt qu’un pourcentage global.
Qu’est-ce qu’une correspondance qualifiée, exactement ?
Une correspondance qualifiée lie un critère précis de la grille TGV à une exigence précise d’un autre référentiel, avec un jugement documenté sur la force de ce lien. Trois niveaux de confiance structurent notre méthodologie correspondances TGV.
- Équivalence stricte. Le critère TGV et l’exigence du référentiel comparé imposent la même chose, avec un niveau de preuve comparable. Satisfaire l’un satisfait généralement l’autre, preuve à l’appui, sans changement important.
- Recoupement partiel. Les deux exigences touchent le même sujet, mais l’une va plus loin, couvre un périmètre différent ou exige une preuve d’un autre type. Une partie du travail se réutilise, pas la totalité.
- Renvoi contextuel. Le lien existe, mais il est indirect : un référentiel évoque un principe que la TGV traduit en exigence opérationnelle précise, ou l’inverse. Utile pour situer un critère, insuffisant comme preuve autonome.
Seule la première catégorie compte, dans notre méthode, comme équivalence stricte. Les deux autres sont des correspondances au sens large : réelles, documentées, mais qui n’autorisent aucun raccourci de conformité.
Comment lire le double décompte par référentiel ?
Un piège classique des exercices de cartographie consiste à confondre le nombre de correspondances relevées avec le nombre de critères TGV réellement couverts. Un même critère TGV peut recouper plusieurs clauses d’un même référentiel : il compte alors pour plusieurs correspondances, mais pour un seul critère couvert. Calculer un pourcentage de couverture à partir du nombre de correspondances, plutôt qu’à partir du nombre de critères distincts touchés, gonfle artificiellement le résultat.
Notre méthode rapporte donc systématiquement deux chiffres par référentiel : le nombre de correspondances qualifiées, et le nombre de critères TGV distincts que ces correspondances couvrent. C’est le double décompte, et c’est la seule base valide pour calculer un pourcentage de couverture crédible. À l’échelle de l’ensemble de la cartographie, voici les chiffres de base.
| Mesure | Valeur |
|---|---|
| Correspondances qualifiées | 1302 |
| Équivalences strictes | 72 (5,5 %) |
| Recoupements et renvois contextuels | 1230 (94,5 %) |
| Critères TGV cartographiés | 382 |
| Référentiels comparés | 13 |
Le calcul est direct : 1302 correspondances au total, 72 équivalences strictes, ce qui laisse 1302 moins 72, soit 1230. 1230 des 1302 correspondances de notre cartographie ne sont donc pas des équivalences strictes. Le retenir change la lecture de tout le reste de cette série : un référentiel qui affiche un grand nombre de correspondances avec la TGV n’affiche pas nécessairement un grand nombre d’équivalences strictes.
Pris isolément, deux référentiels illustrent l’écart. ISO/IEC 27001, un référentiel de sécurité largement adopté, génère un nombre élevé de correspondances avec la grille TGV, mais seule une fraction se qualifie comme équivalence stricte. Le référentiel SOC 2 affiche un nombre de correspondances plus élevé encore, pour une proportion d’équivalences strictes tout aussi limitée. Aucun des deux ne s’approche d’une correspondance de un pour un avec la grille : le nombre brut de correspondances mesure une proximité thématique, pas une équivalence de conformité.
Pourquoi y a-t-il si peu d’équivalences strictes dans cette méthodologie ?
5,5 % des correspondances de notre cartographie sont des équivalences strictes. Le chiffre paraît bas, mais il correspond à la nature même de la grille TGV, pas à un relâchement de la méthodologie correspondances TGV.
La TGV combine des exigences de sécurité communes aux référentiels internationaux, comme le chiffrement, la journalisation ou les tests d’intrusion, avec des exigences propres au contexte québécois qui n’ont simplement pas d’équivalent ailleurs. Le critère G01 de la famille gouvernance, qui impose une interface en français, n’a pas de miroir dans un référentiel de sécurité de l’information nord-américain : on ne certifie généralement pas la langue d’un produit.
Il en va de même pour une bonne partie des critères de protection des renseignements personnels, calqués sur la Loi 25 et sur les orientations propres au réseau de la santé québécois, sans équivalent exact dans un cadre de sécurité générique.
La famille intelligence artificielle illustre le même phénomène pour une autre raison : elle est récente. Ses 69 critères couvrent la gouvernance des systèmes d’IA, la transparence des décisions automatisées et l’encadrement de l’utilisation des données d’entraînement, un terrain que la plupart des référentiels comparés n’ont pas encore encadré avec la même précision. Un recoupement partiel ou un renvoi contextuel, oui. Une équivalence stricte, rarement.
Qu’est-ce que cette cartographie ne remplace pas ?
Cette cartographie ne remplace pas trois choses en particulier.
- Une dispense de démonstration : une équivalence stricte documentée dans notre cartographie n’exempte de rien. Le Bureau de certification de Santé Québec reste seul décisionnaire sur la conformité d’un dossier, et une correspondance forte, même qualifiée d’équivalence stricte, doit encore être démontrée dans votre dossier avec vos propres preuves, à votre date, dans votre contexte.
- Une garantie sur la qualité de mise en œuvre : deux entreprises certifiées ISO 27001 peuvent avoir mis en œuvre leurs contrôles avec une rigueur très différente. Une correspondance documente un rapprochement entre deux textes, pas la qualité de votre mise en œuvre réelle : c’est un raccourci de lecture, pas un raccourci de preuve.
- Une vue exhaustive critère par critère : une correspondance à un critère TGV donné ne dit rien sur les 381 autres. Un référentiel qui recoupe fortement la famille sécurité peut ne rien dire sur la famille intelligence artificielle, et lire un pourcentage de couverture globale sans regarder sa répartition par famille masque exactement les écarts qui font échouer un dossier en vérification.
Qu’est-ce que ce crosswalk de conformité change pour votre dossier TGV ?
Ce crosswalk change la lecture de votre dossier selon le niveau de confiance assigné à chaque correspondance qui vous concerne, pas selon le nombre brut de correspondances affiché pour votre certification existante. Le détail référentiel par référentiel se trouve dans notre guide La TGV face à 13 référentiels : ce qui suit explique comment appliquer cette lecture à votre propre dossier.
Un dirigeant qui détient déjà une certification ISO 27001 ou un rapport SOC 2 arrive souvent à la TGV en pensant que le plus dur est fait. La cartographie donne une réponse plus nuancée, et plus utile : elle indique précisément où votre certification existante réduit l’effort, et où elle ne le réduit pas du tout.
- Équivalence stricte : la preuve déjà produite pour votre certification se réutilise telle quelle pour le dossier TGV.
- Recoupement partiel : il faut compléter la preuve, pas la refaire au complet.
- Renvoi contextuel : votre certification aide à situer le critère, sans dispenser d’aucune démonstration.
Confondre les trois catégories dans la préparation d’un dossier, c’est risquer de sous-estimer le travail qui reste, exactement au moment où l’échéance d’un appel d’offres laisse le moins de marge pour le découvrir.
Le Bureau de certification de Santé Québec publie sa propre page de certification des solutions numériques, qui reste la référence pour toute question sur le statut d’un dossier : notre cartographie ne la remplace pas, elle la complète en amont du dépôt.
Factero fait lire un portefeuille de certifications existant à la lumière de cette cartographie : ce qui compte comme équivalence stricte pour la TGV, ce qui exige un complément, ce qui doit être bâti de zéro. Vous pouvez planifier un appel exploratoire sur l’accompagnement à la certification TGV pour situer votre propre portefeuille.
La cartographie complète sera-t-elle publique ?
Notre cartographie sera publiée en données ouvertes, avec la méthodologie correspondances TGV documentée à côté de chaque correspondance. Elle documentera les 1302 correspondances qualifiées, référentiel par référentiel, avec le niveau de confiance assigné à chacune. Les prochains articles de cette série reprennent chaque référentiel un par un, avec ce même double décompte comme base de lecture.
Pour aller plus loin avec Factero :
- accompagnement TGV pour fournisseurs PST
- accompagnement SOC 2 readiness
- certification ISO 27001 accompagnée par Factero
Quelles sont les questions les plus fréquentes ?
Une certification ISO 27001 ou un rapport SOC 2 suffit-il pour la TGV ?
Non. Les deux réduisent l’effort pour une partie des critères, surtout en sécurité, mais aucun ne couvre la grille au complet. L’ampleur de la réduction dépend du nombre d’équivalences strictes qui vous concernent réellement, pas du nombre brut de correspondances affiché pour votre référentiel.
Cette cartographie de correspondances TGV est-elle un document officiel de Santé Québec ?
Non. C’est un travail d’analyse de Factero, remis à Santé Québec le 28 juillet 2026 à titre de contribution. La méthodologie correspondances TGV qui la sous-tend n’a pas non plus de statut officiel : la grille TGV et son interprétation demeurent la responsabilité du Bureau de certification de Santé Québec, seul habilité à statuer sur un dossier de certification.
Une équivalence stricte dispense-t-elle du test d’intrusion exigé pour la TGV ?
Non, jamais. Le test d’intrusion est un prérequis distinct, exigé pour tout produit ou service qui traite des données personnelles, de santé ou de services sociaux, peu importe le niveau de correspondance documenté avec un autre référentiel. L’orientation du Bureau de certification l’impose à part entière, réalisé par un prestataire indépendant répondant à ses critères.
Un crosswalk de conformité, est-ce la même chose qu’une analyse d’écarts (gap analysis) ?
Non, ce sont deux exercices différents. Le crosswalk relie les exigences de plusieurs référentiels entre eux, indépendamment de votre situation. L’analyse d’écarts compare votre posture réelle à un seul référentiel donné, la TGV par exemple, pour identifier ce qui manque. Notre guide sur l’analyse d’écarts TGV détaille cette deuxième démarche, complémentaire à la nôtre.
