En bref : Un programme de conformité multi-référentiels cartographie une seule fois les preuves qui répondent à la TGV (Trousse globale de vérification), à SOC 2 et à ISO 27001, plutôt que de gérer trois dossiers séparés. Le dépôt Correspondances TGV recense 1302 correspondances entre 13 référentiels, mais 72 seulement sont des équivalences strictes : la lecture reste contextuelle.
Si vous êtes responsable de la sécurité de l’information (RSSI) et que vous jonglez avec une démarche TGV, un renouvellement SOC 2 (l’attestation d’audit fondée sur les Trust Services Criteria de l’AICPA, courante en Amérique du Nord) et un objectif ISO/IEC 27001 (la norme internationale de gestion de la sécurité de l’information), vous connaissez déjà le problème. Trois équipes d’audit, trois calendriers, et le sentiment de répondre trois fois à la même question sous trois formulaires différents. Ce guide explique comment construire un seul programme, pas trois.
Dans cet article
Pourquoi mutualiser la conformité TGV, SOC 2 et ISO 27001 coûte-t-il moins cher que trois démarches séparées ?
Trois démarches séparées coûtent plus cher qu’une seule parce qu’elles font produire les mêmes preuves à trois reprises, pour trois auditeurs distincts. La TGV, SOC 2 et ISO 27001 partagent une bonne partie de leurs exigences, décrites pour la TGV dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W). Les familles Sécurité et Protection des renseignements personnels de la grille TGV comptent à elles seules 220 critères sur les 382 que compte la grille complète, et une part importante recoupe directement les contrôles d’annexe d’ISO 27001 et les critères de confiance de SOC 2.
Sans programme commun, chaque démarche part de zéro : le même travail se répète trois fois, pour trois auditeurs différents, à trois moments de l’année qui ne s’alignent presque jamais.
- Politique de sécurité, rédigée à part pour chaque démarche.
- Journaux d’accès, rassemblés à part pour chaque auditeur.
- Processus de gestion des incidents, expliqué à part à chaque auditeur.
Le travail triple sans que la sécurité réelle de l’organisation ne progresse d’un cran. C’est un coût purement administratif, celui de raconter la même histoire trois fois plutôt qu’une, et c’est exactement ce coût qu’un programme de conformité multi-référentiels vise à éliminer.
Le calendrier aggrave le problème. L’audit SOC 2 tombe souvent en fin d’année financière, la vérification TGV suit le rythme de l’appel d’offres qui l’a déclenchée, et l’audit de surveillance ISO 27001 arrive à sa propre date anniversaire. Trois équipes internes finissent par courir après trois auditeurs différents dans des fenêtres qui se chevauchent, au moment précis où elles auraient le plus besoin de travailler ensemble sur les mêmes preuves.
Qu’est-ce qu’une preuve qui alimente plusieurs dossiers à la fois ?
Prenez le critère S04.02 de la famille Sécurité de la grille TGV, qui porte sur la sensibilisation et la formation du personnel à la sécurité de l’information. Le dépôt Correspondances TGV le relie à trois autres référentiels, dont ISO/IEC 42001, la norme de gestion des systèmes d’intelligence artificielle.
| Référentiel | Repère | Portée du contrôle |
|---|---|---|
| TGV, famille Sécurité | S04.02 | Sensibilisation et formation à la sécurité |
| ISO/IEC 27001:2022 | Annexe A.6.3 | Sensibilisation, éducation et formation à la sécurité de l’information |
| SOC 2, Trust Services Criteria | CC2.2 | Communication interne des responsabilités liées au contrôle interne |
| ISO/IEC 42001 | Clause 7.3 | Sensibilisation |
Un même registre de formation, correctement documenté et daté, sert alors de preuve partielle pour quatre dossiers d’audit distincts. C’est tout le principe d’un programme unifié : une preuve montée une fois, réutilisée, pas reconstruite pour chaque auditeur. Nous détaillons ce cas dans S04.02 : une preuve montée une fois sert trois fois.
Ce type de recoupement n’est ni rare ni exceptionnel. Il est la règle plutôt que l’exception dans les familles Sécurité et Protection des renseignements personnels, ce qui explique pourquoi un programme conçu autour des preuves plutôt qu’autour des référentiels change réellement la charge de travail.
Que révèlent les 1302 correspondances du dépôt Correspondances TGV ?
Le dépôt Correspondances TGV, publié en données ouvertes sous licence CC BY 4.0 (Creative Commons, avec attribution), cartographie les 382 critères de la grille TGV contre 13 référentiels reconnus. Nous avons documenté sa publication dans Publication du dépôt git Correspondances TGV : 1302 correspondances en données ouvertes. Le dépôt lui-même, incluant le fichier de correspondances complet, est consultable sur le site du dépôt Correspondances TGV.
Sur les 1302 correspondances qu’il recense, 72 seulement sont des équivalences strictes, soit 5,5 %. Les 94,5 % restantes sont des recoupements partiels : le critère TGV et le contrôle de l’autre référentiel touchent au même sujet, sans couvrir exactement la même portée ni exiger la même profondeur de preuve. Un recoupement partiel signale où chercher, pas ce qu’il faut copier.
La comparaison référentiel par référentiel confirme l’ampleur du travail de lecture qui reste à faire. Notre analyse SOC 2 et TGV dénombre 220 correspondances entre les deux référentiels. Notre analyse ISO 27001 et TGV en dénombre 135, dont 36 équivalences strictes seulement. Dans les deux cas, la majorité des correspondances exige un jugement, pas une case à cocher.
Un programme unifié qui traiterait ces correspondances comme des équivalences automatiques produirait, au final, un dossier TGV fragile, un rapport SOC 2 contesté et un certificat ISO 27001 qui ne survivrait pas à l’audit de surveillance suivant. Le dépôt est un point de départ pour concevoir le programme, pas un raccourci pour l’exécuter.
Comment bâtir un programme de conformité multi-référentiels, étape par étape ?
Cinq étapes structurent la démarche, dans cet ordre.
- Dressez l’inventaire des référentiels actifs et prévus : TGV en cours, SOC 2 en renouvellement, ISO 27001 visée, et tout autre référentiel que vos clients ou vos appels d’offres pourraient exiger dans les deux prochaines années. Un programme conçu pour trois référentiels s’adapte plus facilement à un quatrième qu’un programme conçu référentiel par référentiel.
- Consultez le dépôt Correspondances TGV pour repérer les recoupements pertinents à votre situation plutôt que de partir d’une page blanche pour chacun de vos référentiels. Ne retenez que les correspondances qui touchent des critères réellement applicables à votre produit ou votre organisation.
- Distinguez, pour chaque recoupement retenu, une équivalence stricte d’un simple recoupement partiel, et documentez cette distinction dans votre registre. Une preuve conçue pour couvrir un recoupement partiel doit préciser explicitement ce qu’elle couvre et ce qu’elle ne couvre pas, pour l’auditeur qui la lira dans six mois.
- Construisez un registre de preuves unique, organisé par contrôle plutôt que par référentiel, pour que chaque preuve pointe vers tous les dossiers qu’elle alimente. Notre guide Construire son registre de preuves TGV, famille par famille détaille la mécanique pour la portion TGV de ce registre.
- Nommez un propriétaire par preuve et fixez un cycle de révision commun aux trois calendriers d’audit, plutôt que trois cycles indépendants qui finissent inévitablement par se chevaucher aux pires moments de l’année.
Qui doit porter ce programme dans l’organisation ?
Le RSSI est le point de convergence naturel d’un programme de conformité multi-référentiels, mais il ne le bâtit pas seul :
- Preuves de formation : fournies par les ressources humaines.
- Preuves de protection des renseignements personnels : croisent votre programme Loi 25, souvent porté par un responsable distinct.
- Preuves techniques : fournies par les équipes d’infrastructure et de développement, qui ont leurs propres échéanciers.
Un programme unifié qui reste enfermé dans un seul silo technique reproduit, à l’interne, le problème qu’il cherche à résoudre : trois versions de la vérité, une par référentiel, chacune tenue à jour par des gens qui ne se parlent pas. Le RSSI qui réussit obtient un mandat clair pour centraliser la collecte des preuves, avec l’appui de la direction, pas seulement le mandat de coordonner de loin des équipes qui gardent chacune leurs propres tableurs.
Concrètement, ce mandat se traduit par un comité restreint, quatre ou cinq personnes, qui se réunit avant chaque cycle d’audit pour revoir l’état du registre commun. Sans ce mécanisme, chaque équipe continue de préparer son dossier isolément dès que la pression du calendrier remonte, et le programme unifié reste un document théorique plutôt qu’une pratique réelle.
Quelle est la limite d’une gestion de conformité unifiée ?
La limite de la mutualisation, c’est qu’une équivalence stricte seule permet de réutiliser littéralement la même preuve pour deux dossiers d’audit. Un recoupement partiel, la majorité des 1302 correspondances du dépôt, exige un jugement documenté à chaque réutilisation, pas une copie automatique.
Confier cette lecture à un outil automatisé sans validation humaine est un raccourci risqué. Le dépôt Correspondances TGV est un outil de conception du programme, pas un substitut au travail de vérification qu’exige chaque auditeur pour chaque référentiel. Un consultant qui promet qu’une matrice de correspondances élimine le travail de préparation vous dit quelque chose sur la rigueur de son offre, pas sur la réalité de la grille. Pour la TGV, la décision reste celle de Santé Québec, dont la page de certification des solutions numériques fait foi ; pour SOC 2 et ISO 27001, elle appartient respectivement à l’auditeur mandaté et à l’organisme de certification accrédité. Aucun accompagnement, chez Factero ou ailleurs, ne remplace cette décision.
Nous accompagnons des organisations qui maintiennent plusieurs certifications en parallèle dans la conception de ce type de programme : cartographie des recoupements pertinents à leur cas, structure du registre de preuves, priorisation des écarts entre les trois démarches. Vous pouvez concevoir votre programme unifié avec Factero : un premier appel suffit pour situer où se trouvent vos recoupements réels et où le travail reste entier.
Pour aller plus loin avec Factero :
- programme d’accompagnement à la certification TGV
- accompagnement à la préparation SOC 2
- accompagnement à la certification ISO 27001
Foire aux questions
SOC 2 et ISO 27001, est-ce la même chose ?
Non. SOC 2 est une attestation d’audit fondée sur les Trust Services Criteria de l’AICPA, produite par un auditeur mandaté. ISO/IEC 27001 est une norme internationale certifiée par un organisme de certification accrédité indépendant. Les deux couvrent des contrôles proches, comme le montre le recoupement entre le critère CC2.2 de SOC 2 et l’annexe A.6.3 d’ISO 27001 sur la sensibilisation à la sécurité, mais restent deux démarches distinctes, chacune avec son propre décideur.
Qu’est-ce qu’une matrice de correspondance (crosswalk) entre référentiels de conformité ?
Une matrice de correspondance, ou crosswalk, relie les critères d’un référentiel, la grille TGV par exemple, aux contrôles équivalents ou proches d’autres référentiels comme ISO 27001 ou SOC 2. Le dépôt Correspondances TGV en est un exemple : 1302 correspondances entre 13 référentiels. Elle sert à repérer où chercher les recoupements, pas à décider si une preuve les satisfait réellement : ce travail reste celui de l’auditeur.
Le dépôt Correspondances TGV remplace-t-il un audit ?
Non. Il indique où chercher les recoupements entre référentiels, pas si votre organisation les respecte réellement dans les faits. La vérification reste le travail de l’auditeur externe, pour chaque référentiel, séparément.
Un programme unifié réduit-il le nombre d’audits à passer ?
Non. La TGV, SOC 2 et ISO 27001 restent trois démarches distinctes, avec leurs propres décideurs et leurs propres calendriers. Un programme de conformité multi-référentiels réduit l’effort de préparation et de collecte de preuves, pas le nombre de vérifications externes requises.
Où trouve-t-on la liste des produits certifiés TGV ?
Santé Québec la publie sur sa page de certification des solutions numériques, dans la section consacrée aux applications certifiées. Le dépôt Correspondances TGV ne remplace pas ce registre : il cartographie les critères de la grille contre d’autres référentiels, il ne confirme aucun statut de certification. Les deux ressources répondent à des questions différentes.
