En bref : La réutilisation des preuves de conformité permet à un même dossier, comme celui du critère TGV S04.02 sur la sensibilisation, de couvrir ISO 27001, SOC 2 et ISO 42001 à la fois. Sur les 1302 correspondances documentées dans le dépôt public Correspondances TGV, seules 72 sont des équivalences strictes : la majorité exige un jugement professionnel avant réutilisation.
Dans cet article
Qu’est-ce que le critère TGV S04.02 sur la sensibilisation à la sécurité ?
S04.02 fait partie de la famille Sécurité de la grille TGV, dont le cadre général est décrit dans l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W). C’est la plus large des sept familles, avec 112 critères sur les 382 que compte la grille en vigueur. S04.02 porte sur la sensibilisation : le fournisseur doit démontrer que son personnel reçoit une formation en sécurité de l’information, pas seulement qu’une politique existe sur papier.
Concrètement, le Bureau de certification veut voir un programme réel : contenu de formation, fréquence, preuve de participation, mécanisme de mise à jour quand une menace ou un incident change la donne. Une politique signée par la direction et jamais lue par personne ne passe pas ce critère.
Ce n’est pas un critère isolé dans le paysage de la conformité. La sensibilisation du personnel est un pilier classique de presque tous les cadres de sécurité reconnus, ce qui en fait un bon point de départ pour comprendre comment une seule preuve peut nourrir plusieurs dossiers à la fois.
Pour un responsable conformité qui jongle avec plusieurs cadres à la fois, TGV, ISO 27001, SOC 2, cette question n’est pas théorique. Chaque référentiel traité en vase clos multiplie le travail de production de preuves pour des exigences qui, au fond, se recoupent largement.
Pourquoi la réutilisation des preuves de conformité fonctionne-t-elle entre référentiels ?
Les référentiels de sécurité décrivent tous, chacun à sa façon, les mêmes pratiques de base reconnues dans l’industrie : contrôle d’accès, gestion des vulnérabilités, sensibilisation, journalisation, réponse aux incidents. La formulation change d’un référentiel à l’autre, l’esprit du contrôle reste souvent le même.
C’est ce que révèle le dépôt Correspondances TGV, publié en données ouvertes le 28 août 2026 sous licence CC BY 4.0 : 1302 correspondances entre les 382 critères TGV et 13 référentiels reconnus. Le critère S04.02 en est un exemple net, parce qu’il touche trois référentiels d’un seul coup.
Il équivaut au contrôle A.6.3 d’ISO/IEC 27001:2022, consacré à la sensibilisation, la formation et l’éducation en sécurité de l’information. Il recoupe aussi le critère CC2.2 des Trust Services Criteria de l’AICPA, la base des audits SOC 2, sur la communication interne des responsabilités de contrôle. Et il touche la clause 7.3, Sensibilisation, d’ISO/IEC 42001:2023, la norme de gestion des systèmes d’intelligence artificielle.
Une seule chose à retenir ici : « équivaut » et « recoupe » ne veulent pas dire la même chose, et la nuance a un prix en travail de vérification.
Que veut dire « équivalence stricte » par opposition à « correspondance partielle » ?
Une équivalence stricte signifie que le contrôle cible exige essentiellement la même preuve que le critère TGV, presque mot pour mot. C’est le cas de S04.02 face à A.6.3 d’ISO 27001 : les deux exigent un programme de sensibilisation documenté, dispensé et suivi dans le temps. La même preuve, avec un minimum de reformatage, satisfait les deux vérificateurs.
Une correspondance partielle signifie que les deux critères touchent le même thème sans exiger exactement la même chose. CC2.2 de SOC 2 porte sur la communication interne au sens large, pas seulement la formation en sécurité : votre preuve de sensibilisation en couvre une partie, pas l’ensemble. La clause 7.3 d’ISO 42001 pose la même logique, mais appliquée à la gouvernance de l’intelligence artificielle plutôt qu’à la sécurité générale.
Le tableau suivant résume les quatre dossiers que peut nourrir une seule preuve de sensibilisation bien montée.
| Référentiel | Contrôle correspondant | Type de correspondance |
|---|---|---|
| TGV (MSSS) | S04.02, Sensibilisation | Critère d’origine |
| ISO/IEC 27001:2022 | A.6.3, Sensibilisation, formation et éducation | Équivalence stricte |
| SOC 2 (AICPA) | CC2.2, Communication interne | Correspondance partielle |
| ISO/IEC 42001:2023 | 7.3, Sensibilisation | Correspondance partielle |
Équivalent texte de ce tableau, pour qui le lit plutôt que le voit : une preuve de sensibilisation TGV S04.02 couvre intégralement l’exigence ISO 27001 A.6.3, couvre une partie de l’exigence SOC 2 CC2.2, et couvre une partie de l’exigence ISO 42001 7.3.
Que révèle le chiffre de 94,5 % ?
94,5 % des correspondances documentées dans le dépôt ne sont pas des équivalences strictes : elles exigent un jugement professionnel, pas un simple copier-coller de preuve. Le calcul est simple. Le dépôt documente 1302 correspondances au total, dont 72 sont des équivalences strictes ; 1302 moins 72 donne 1230, et 1230 sur 1302 donne 94,5 %.
Un responsable conformité qui espère que la certification ISO 27001 ou le rapport SOC 2 de son fournisseur infonuagique règle automatiquement la majorité des critères TGV se trompe presque dix-neuf fois sur vingt.
Ce chiffre n’est pas une mauvaise nouvelle, c’est un repère de planification. Il dit où concentrer l’effort de cartographie. Les équivalences strictes se traitent vite, presque en copier-coller documentaire. Les correspondances partielles demandent qu’une personne compare les deux textes, ligne par ligne, et documente ce qui manque.
Concrètement, documenter une correspondance partielle demande de reprendre le texte du critère TGV, de le comparer clause par clause avec le contrôle cible, puis de noter précisément ce qui est couvert et ce qui ne l’est pas. Ce travail se fait une fois par correspondance, pas une fois par audit : bien fait, il se réutilise d’un cycle de certification à l’autre.
Comment repérer une preuve mutualisable dans le dépôt ?
La réutilisation des preuves de conformité tient en quatre gestes, dans l’ordre.
- Cherchez votre critère TGV par son numéro dans le dépôt, comme S04.02, et notez tous les référentiels auxquels il correspond.
- Vérifiez le type de correspondance associé à chaque ligne : une équivalence stricte se réutilise presque telle quelle, une correspondance partielle exige une lecture comparée des deux textes.
- Rassemblez les preuves déjà produites pour les référentiels avec lesquels vous êtes déjà certifié ou audité, ISO 27001 ou SOC 2 par exemple, et confrontez-les au libellé exact du critère TGV.
- Documentez l’écart résiduel, s’il en reste un, plutôt que de présumer que la preuve existante suffit d’emblée.
Le mode d’emploi du dépôt Correspondances TGV détaille comment filtrer ces 1302 lignes par référentiel, par famille de critères ou par type de correspondance, pour éviter de tout parcourir à la main.
Comment monter une preuve d’audit multi-référentiels qui tient la route ?
Une preuve pensée pour un seul référentiel finit souvent par se fragmenter en plusieurs versions au fil des audits, chacune un peu différente, aucune vraiment fiable. Une preuve pensée dès le départ pour servir à plusieurs référentiels évite ce piège, à condition de respecter quatre réflexes.
- Datez chaque élément de preuve et prévoyez son renouvellement : une attestation de formation vieille de deux ans ne convainc ni le Bureau de certification du MSSS ni un auditeur SOC 2.
- Nommez le contrôle exact que la preuve couvre, avec son identifiant, plutôt qu’une description vague de « programme de sécurité ».
- Conservez une trace de l’écart documenté pour chaque correspondance partielle, pour ne pas avoir à refaire l’analyse au prochain cycle.
- Centralisez ces preuves dans un seul emplacement plutôt que de les laisser dispersées par audit : un registre unique, consulté et mis à jour à chaque cycle, évite qu’une preuve vieillisse dans un dossier pendant qu’une version plus récente circule ailleurs.
Nos comparatifs ISO 27001 et TGV et SOC 2 et TGV détaillent, référentiel par référentiel, où se trouvent les 135 et les 220 correspondances respectives, et combien d’entre elles sont des équivalences strictes. Un prochain billet montrera comment construire un registre de preuves TGV complet, famille par famille, à partir de cette méthode. Si vous préférez qu’on identifie vos preuves mutualisables avec vous, un appel exploratoire suffit pour situer ce qui se réutilise et ce qui reste à bâtir.
Quelles sont les limites de cette réutilisation ?
Trois limites à garder en tête, pour ne pas surestimer ce que le dépôt permet.
Une correspondance documentée n’est pas une garantie d’acceptation. Le dépôt indique où chercher, il ne remplace pas le jugement du Bureau de certification du MSSS ni celui de votre vérificateur externe. La page de certification des solutions numériques du MSSS reste la référence pour ce qui est exigé au dépôt final, pas le tableau de correspondances.
Les guides ne sont pas tous des référentiels certifiables. Les guides pour PME du Centre canadien pour la cybersécurité sont utiles pour structurer un programme de sensibilisation, mais ils ne génèrent aucune correspondance dans le dépôt : ce ne sont pas des normes contre lesquelles un vérificateur externe vous audite formellement.
Une preuve mutualisée reste une preuve à maintenir. La sensibilisation se prouve chaque année, pas une fois pour toutes. Réutiliser une preuve entre référentiels réduit le travail de production, pas l’obligation de le refaire au bon rythme.
Ces limites ne retirent rien à l’intérêt de la réutilisation des preuves de conformité pour la planification. Elles indiquent plutôt où investir du temps humain, plutôt que d’attendre qu’un tableau de correspondances tranche à sa place.
Pour aller plus loin avec Factero :
- préparation à la certification TGV
- accompagnement ISO 27001 pour éditeurs SaaS
- accompagnement SOC 2 Type 1 et Type 2
Foire aux questions
Une certification ISO 27001 dispense-t-elle d’un audit SOC 2 ?
Non. Les deux référentiels se recoupent largement mais testent des exigences différentes : ISO 27001 ne remplace pas l’audit SOC 2, elle en réduit le travail de préparation. Dans le dépôt Correspondances TGV, 72 correspondances seulement sur 1302 sont des équivalences strictes ; la majorité exige de comparer les deux textes ligne par ligne avant de réutiliser une preuve existante.
Le mapping des contrôles entre référentiels remplace-t-il un audit externe ?
Non. La cartographie indique où une preuve existante peut servir ailleurs, elle ne juge pas si cette preuve satisfait le vérificateur. Une correspondance documentée reste un point de départ : le Bureau de certification du MSSS et vos autres auditeurs examinent chacun le dossier présenté, même quand la preuve sous-jacente est identique.
Par quel référentiel commencer quand on cartographie ses preuves entre plusieurs cadres ?
Par celui déjà obtenu, pas par le TGV si vous n’y êtes pas encore engagé. Si votre organisation est déjà certifiée ISO 27001 ou auditée SOC 2, confrontez d’abord ces preuves existantes au libellé exact des critères TGV correspondants dans le dépôt, plutôt que de bâtir un nouveau dossier à partir de zéro pour chaque référentiel.
La preuve de sensibilisation à la sécurité doit-elle être renouvelée chaque année ?
Oui, dans l’esprit du critère TGV S04.02 : une attestation de formation vieille de deux ans ne convainc ni le Bureau de certification du MSSS ni un auditeur SOC 2 ou ISO 27001. La sensibilisation se prouve dans la durée, pas une fois pour toutes ; la réutiliser entre référentiels réduit le travail de production, pas l’obligation de la renouveler au bon rythme.
