En bref : Un registre de preuves TGV (Trousse globale de vérification) associe, critère par critère, une preuve tangible à chacun des 382 critères de la grille, répartis en 7 familles. Tenu à jour du dépôt du dossier jusqu’à la vérification externe, il permet aussi de réutiliser une même preuve dans plusieurs dossiers de conformité grâce au dépôt public des correspondances.
Ce guide s’adresse aux responsables conformité qui ont déjà fait leur autoévaluation TGV et leur analyse d’écarts TGV, et qui doivent maintenant organiser la preuve elle-même. Savoir qu’un critère est couvert ne suffit pas : il faut pouvoir le démontrer au vérificateur externe le jour venu, avec un document, pas avec une affirmation.
Dans cet article
Qu’est-ce qu’un registre de preuves TGV, exactement ?
Un registre de preuves n’est pas la grille elle-même. La grille énonce les exigences, 382 critères en 7 familles. Le registre vient après : pour chaque critère, quelle preuve démontre la conformité, où elle se trouve, qui l’a produite, et à quelle date.
Une preuve prend des formes très différentes selon le critère :
- une politique signée
- une capture d’écran de configuration
- un rapport de test d’intrusion
- un contrat d’hébergement
- un journal de déploiement
- une procédure de gestion des accès
Le point commun entre toutes ces formes : la preuve doit être vérifiable par quelqu’un qui ne connaît pas votre produit.
Un registre utile distingue quatre statuts par critère :
- Couvert : la preuve existe et suffit.
- Partiellement couvert : une preuve existe mais elle est incomplète.
- Écart : aucune preuve.
- Non applicable : le critère ne s’applique pas à votre produit, avec la justification écrite.
Confondre « en cours » et « couvert » est l’erreur la plus coûteuse à découvrir en vérification plutôt qu’en préparation.
Le Bureau de certification n’impose pas de gabarit précis, mais il exige une preuve démontrable pour chaque critère applicable. Le format du registre vous appartient. La rigueur, elle, ne se négocie pas.
Pourquoi organiser le registre famille par famille ?
Parce que les 382 critères ne se répondent pas depuis le même bureau. La grille TGV se décline en 7 familles, chacune avec un poids et une nature différents.
| Famille | Nombre de critères | Qui répond, généralement |
|---|---|---|
| Sécurité | 112 | Équipe sécurité ou TI |
| Protection des renseignements personnels | 108 | Responsable de la protection des renseignements personnels, juridique |
| Intelligence artificielle | 69 | Produit, gouvernance de l’IA |
| Interopérabilité | 58 | Architecture, intégrations |
| Technique | 26 | Développement |
| Performance | 7 | Infrastructure |
| Gouvernance | 2 | Produit, marketing |
La dernière colonne est indicative, chaque entreprise organise ses équipes à sa façon. Mais elle illustre le problème de fond : un registre confié à la seule équipe de développement laisse la majorité des 382 critères sans propriétaire compétent pour en juger la preuve.
La sécurité et la protection des renseignements personnels forment à elles deux plus de la moitié de la grille, et une partie de leurs preuves existe déjà si votre entreprise a fait son travail de conformité à la Loi 25 : inventaire des renseignements personnels, évaluations de facteurs relatifs à la vie privée, registre des incidents.
Le même principe s’applique à la famille intelligence artificielle. Une entreprise déjà alignée sur la norme ISO/IEC 42001:2023 de gestion des systèmes d’intelligence artificielle a une partie du travail de preuve déjà faite, dans la même logique que la sécurité s’appuie sur des certifications déjà en main.
Comment structurer un registre de preuves TGV, étape par étape ?
Six étapes suffisent pour construire un premier registre complet, dans cet ordre.
- Importer les 382 critères de la grille en vigueur comme lignes de base, avec leur famille et leur identifiant. C’est la seule étape où on ne discute pas : la grille officielle fait foi, pas un résumé maison.
- Assigner un propriétaire par famille, pas par critère individuellement. Sept propriétaires à coordonner, c’est gérable. Trois cent quatre-vingt-deux, non.
- Documenter le statut, la preuve et son emplacement pour chaque critère : couvert, partiel, écart ou non applicable, avec la preuve elle-même ou son emplacement exact, sa date et sa source.
- Croiser avec le dépôt public des correspondances avant de partir d’une page blanche : une preuve produite pour un autre référentiel a peut-être déjà de la valeur ici.
- Faire relire chaque ligne par le propriétaire de la famille, pas seulement par la personne qui l’a remplie. Une preuve qui semble suffisante à qui l’a produite ne l’est pas toujours aux yeux d’un vérificateur externe.
- Dater et verrouiller une version avant le dépôt du dossier. Toute preuve ajoutée après devient un avenant tracé, jamais une modification silencieuse d’une ligne déjà validée.
Les écarts identifiés à l’étape 3 ne se règlent pas dans le registre lui-même. Remédiation TGV : prioriser ses écarts sans s’éparpiller explique comment les prioriser une fois qu’ils sont consignés.
Comment une preuve peut-elle servir à plusieurs dossiers ?
C’est le principal gain de temps d’un registre bien construit, et c’est la raison d’être du dépôt public tgv-msss-crosswalk.
Ce dépôt documente 1302 correspondances entre les 382 critères de la TGV et 13 référentiels de conformité utilisés en cybersécurité et en protection des renseignements personnels, dont ISO 27001 et SOC 2. Parmi ces 1302 correspondances, 72 sont des équivalences strictes : la preuve qui satisfait le critère d’un autre référentiel satisfait directement, sans adaptation, le critère TGV correspondant.
Pour les 1230 autres, la preuve existante est un point de départ solide, pas une preuve finale telle quelle : elle doit être adaptée au libellé exact du critère TGV.
Le critère S04.02 illustre bien le principe : une preuve correctement documentée pour ce seul critère alimente quatre dossiers distincts. S04.02 : une preuve montée une fois sert trois fois détaille ce cas précis et la mécanique derrière la mutualisation.
Le dépôt est publié sous licence CC BY 4.0 (Creative Commons avec attribution), ce qui en fait un outil de pré-mappage accessible avant même d’entamer le remplissage du registre de preuves TGV : on vérifie d’abord si une correspondance existe, on adapte ensuite, on ne repart jamais de zéro deux fois pour la même preuve. Utiliser le dépôt Correspondances TGV : le mode d’emploi détaille la démarche pas à pas.
Quel gabarit de registre utiliser ?
La forme compte moins que la discipline, mais un gabarit à six colonnes couvre l’essentiel de ce qu’un vérificateur externe demande à voir.
| Critère | Famille | Statut | Preuve | Référentiels équivalents | Propriétaire |
|---|---|---|---|---|---|
| G01 | Gouvernance | Couvert | Captures d’écran de l’interface utilisateur en français | Aucun (critère propre à la TGV) | Produit |
| G02 | Gouvernance | Couvert | Politique produit confirmant l’absence de publicité | Aucun (critère propre à la TGV) | Produit |
| S04.02 | Sécurité | Couvert | Politique de gestion des correctifs, journal des déploiements | Équivalence stricte avec un référentiel déjà détenu | Sécurité |
Ce gabarit se construit dans un chiffrier ou dans un outil de gestion de la conformité, peu importe l’outil, du moment que les six colonnes existent et que le fichier garde un historique de versions. Un registre qui vit dans des courriels épars ou dans la mémoire d’une seule personne n’en est pas un.
Qui tient le registre de preuves TGV, et jusqu’à quand ?
Le registre commence à vivre dès l’autoévaluation et ne s’arrête pas à la décision du Bureau de certification. Les engagements du fournisseur incluent une autodéclaration annuelle et des tests d’intrusion à refaire périodiquement : le registre qui a servi au dépôt initial redevient l’outil de travail de ces échéances récurrentes.
Confier la documentation de conformité TGV à une seule personne, aussi compétente soit-elle, l’expose à devenir un goulot d’étranglement et à perdre en fiabilité dès que cette personne change de rôle. Un registre à jour ressemble à un dossier médical bien tenu : chaque preuve porte une date, une source, et personne n’a besoin de fouiller pour la retrouver.
Nous accompagnons des responsables conformité dans la construction et la tenue de ce registre, de l’importation initiale des 382 critères jusqu’à la préparation du dossier final. Notre rôle reste celui du guide : structurer le gabarit, croiser les correspondances pertinentes, coordonner les propriétaires de famille. Vous restez propriétaire des preuves et de la décision. Si vous préparez un dépôt, vous pouvez structurer votre registre de preuves avec Factero.
Pour aller plus loin avec Factero :
Foire aux questions
Le registre de preuves TGV est-il exigé par le Bureau de certification, ou seulement une bonne pratique ?
Le Bureau de certification n’impose pas de gabarit précis, mais il exige une preuve démontrable pour chaque critère applicable. Un registre structuré est la façon la plus fiable d’y arriver sans rien oublier, surtout passé la centaine de critères.
Faut-il un registre distinct par produit ?
Oui, dans la même logique que la certification elle-même : elle vise un produit, dans une version donnée, pas une entreprise. Deux produits, deux registres, même si certaines preuves organisationnelles, une politique interne par exemple, peuvent être partagées entre les deux.
Le dépôt public des correspondances suffit-il à remplir le registre ?
Non. Il indique où une preuve existante a de bonnes chances de s’appliquer, il ne remplace pas le travail d’adaptation au libellé exact du critère TGV ni la preuve elle-même. Sur 1302 correspondances documentées, seules 72 sont des équivalences strictes utilisables telles quelles.
Combien de temps prend la construction d’un premier registre complet ?
Ça dépend directement de la maturité de votre documentation existante et du nombre de critères non applicables à votre produit. Une entreprise qui détient déjà des certifications reconnues et une documentation à jour avance plus vite qu’une entreprise qui part de zéro sur la protection des renseignements personnels ou la gouvernance de l’intelligence artificielle.
Sources citées
- Dépôt public tgv-msss-crosswalk (1302 correspondances, 382 critères, 13 référentiels, CC BY 4.0)
- Page de certification des solutions numériques (Santé Québec / MSSS)
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- ISO/IEC 42001:2023 — gestion des systèmes d’intelligence artificielle (ISO)
