{"id":845,"date":"2026-07-31T07:00:00","date_gmt":"2026-07-31T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=845"},"modified":"2026-09-04T13:16:57","modified_gmt":"2026-09-04T18:16:57","slug":"tgv-vs-soc-2","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/tgv-vs-soc-2\/","title":{"rendered":"TGV vs SOC 2 : 220 correspondances, mais pas de raccourci"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>TGV vs SOC 2 : la r\u00e9ponse est non, un rapport SOC 2 Type II ne remplace pas la certification TGV, d\u00e9livr\u00e9e par le Bureau de certification et d&rsquo;homologation (BCH) du minist\u00e8re de la Sant\u00e9 et des Services sociaux.<\/strong> Notre cartographie de 1302 correspondances entre 13 r\u00e9f\u00e9rentiels et la grille TGV situe SOC 2 en t\u00eate avec 220 correspondances, la couverture la plus large observ\u00e9e, mais une fraction seulement sont des \u00e9quivalences strictes.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/tgv.png\" alt=\"TGV vs SOC 2 : 220 correspondances, peu d'\u00e9quivalences strictes\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Cet article fait partie de notre cartographie compl\u00e8te des r\u00e9f\u00e9rentiels applicables au r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois, d\u00e9taill\u00e9e dans <a href=\"https:\/\/factero.ca\/blog\/tgv-13-referentiels-1302-correspondances\/\">La TGV face \u00e0 13 r\u00e9f\u00e9rentiels : 1302 correspondances analys\u00e9es<\/a>. Si vous dirigez un \u00e9diteur SaaS nord-am\u00e9ricain, que votre entreprise d\u00e9tient un rapport SOC 2 Type II et qu&rsquo;un appel d&rsquo;offres du r\u00e9seau qu\u00e9b\u00e9cois vient de vous mettre la TGV sous les yeux, ce texte r\u00e9pond \u00e0 la question que vos \u00e9quipes commerciales vous posent probablement d\u00e9j\u00e0 : notre rapport suffit-il ?<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#un-rapport-soc-2-remplace-t-il-la-certification-tgv-au-quebec\">Un rapport SOC 2 remplace-t-il la certification TGV au Qu\u00e9bec ?<\/a><\/li><li class=\"\"><a href=\"#que-veut-dire-correspondance-entre-la-tgv-et-soc-2\">Que veut dire \u00ab correspondance \u00bb entre la TGV et SOC 2 ?<\/a><\/li><li class=\"\"><a href=\"#pourquoi-soc-2-arrive-t-il-en-tete-de-la-cartographie\">Pourquoi SOC 2 arrive-t-il en t\u00eate de la cartographie ?<\/a><\/li><li class=\"\"><a href=\"#sur-quelles-familles-de-la-grille-tgv-un-rapport-soc-2-aide-t-il-vraiment\">Sur quelles familles de la grille TGV un rapport SOC 2 aide-t-il vraiment ?<\/a><\/li><li class=\"\"><a href=\"#un-rapport-soc-2-type-ii-sert-il-de-preuve-pour-un-dossier-tgv-en-sante-au-quebec\">Un rapport SOC 2 Type II sert-il de preuve pour un dossier TGV en sant\u00e9 au Qu\u00e9bec ?<\/a><\/li><li class=\"\"><a href=\"#tgv-vs-soc-2-par-ou-commencer-si-vous-detenez-deja-un-rapport\">TGV vs SOC 2 : par o\u00f9 commencer si vous d\u00e9tenez d\u00e9j\u00e0 un rapport ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"un-rapport-soc-2-remplace-t-il-la-certification-tgv-au-quebec\" class=\"wp-block-heading\">Un rapport SOC 2 remplace-t-il la certification TGV au Qu\u00e9bec ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non, et la distinction n&rsquo;est pas cosm\u00e9tique.<\/strong> SOC 2 est un rapport d&rsquo;attestation : une firme comptable ind\u00e9pendante examine les contr\u00f4les d&rsquo;une organisation et atteste, \u00e0 un moment donn\u00e9 ou sur une p\u00e9riode, qu&rsquo;ils fonctionnent conform\u00e9ment \u00e0 des crit\u00e8res d\u00e9finis. C&rsquo;est un exercice volontaire, largement r\u00e9pandu chez les fournisseurs infonuagiques nord-am\u00e9ricains, mais administr\u00e9 par le secteur priv\u00e9, sans lien avec le Qu\u00e9bec.<\/p>\n\n<p class=\"wp-block-paragraph\">La TGV, la Trousse globale de v\u00e9rification, est autre chose : une certification d\u00e9livr\u00e9e par le Bureau de certification et d&rsquo;homologation (BCH), contre une grille de crit\u00e8res propre au r\u00e9seau qu\u00e9b\u00e9cois, avec sa propre v\u00e9rification externe men\u00e9e par une firme sp\u00e9cialis\u00e9e. Le cadre est d\u00e9crit dans <a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">l&rsquo;orientation officielle du MSSS sur la certification TGV<\/a> (publication 24-715-38W). Aucun rapport produit ailleurs, aussi rigoureux soit-il, ne se substitue \u00e0 cette d\u00e9cision. Le BCH administre seul le processus de certification des produits et services technologiques destin\u00e9s au r\u00e9seau, dont la TGV fait partie, et personne d&rsquo;autre ne peut vous garantir son issue. Un fournisseur ou un consultant qui vous promet le contraire vous dit surtout quelque chose sur sa rigueur.<\/p>\n\n<p class=\"wp-block-paragraph\">Cette v\u00e9rification externe comprend un test d&rsquo;intrusion. Selon <a href=\"https:\/\/msss.gouv.qc.ca\/professionnels\/documents\/technologies-information\/certification-produits-services\/orientation-tests-intrusion.pdf\" target=\"_blank\" rel=\"noopener nofollow\">l&rsquo;orientation du BCH sur les tests d&rsquo;intrusion<\/a>, ceux-ci sont \u00ab maintenant un pr\u00e9requis \u00e0 l&rsquo;obtention de la certification TGV pour tous les produits ou services technologiques utilisant des donn\u00e9es personnelles, de sant\u00e9 et de services sociaux \u00bb. Le BCH n&rsquo;accepte que des prestataires ind\u00e9pendants dont les repr\u00e9sentants sont l\u00e9galement autoris\u00e9s au Canada, dont le personnel est certifi\u00e9 en tests d&rsquo;intrusion et fait l&rsquo;objet de preuves d&rsquo;ant\u00e9c\u00e9dents criminels, capables de produire le rapport en fran\u00e7ais sans frais pour le BCH, et qui testent en production ou en environnement \u00e9quivalent. Rien de comparable n&rsquo;existe dans un rapport SOC 2, qui n&rsquo;impose ni prestataire pr\u00e9cis ni test d&rsquo;intrusion obligatoire.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce que SOC 2 peut faire, en revanche, c&rsquo;est acc\u00e9l\u00e9rer une partie du dossier. C&rsquo;est tout l&rsquo;objet de cet article : o\u00f9, pr\u00e9cis\u00e9ment.<\/p>\n\n<h2 id=\"que-veut-dire-correspondance-entre-la-tgv-et-soc-2\" class=\"wp-block-heading\">Que veut dire \u00ab correspondance \u00bb entre la TGV et SOC 2 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Notre \u00e9quipe a remis sa matrice de correspondance \u00e0 Sant\u00e9 Qu\u00e9bec le 28 juillet dernier, au terme d&rsquo;un exercice de cartographie entre la grille TGV et 13 r\u00e9f\u00e9rentiels internationaux et nord-am\u00e9ricains. Sur les 1302 correspondances \u00e9tablies, SOC 2 arrive en t\u00eate avec 220, le total le plus \u00e9lev\u00e9 de toute la cartographie.<\/p>\n\n<p class=\"wp-block-paragraph\">Mais correspondance ne veut pas dire \u00e9quivalence, et c&rsquo;est l\u00e0 que la plupart des lectures rapides d\u00e9rapent. Notre m\u00e9thode distingue trois niveaux de rapprochement, d\u00e9taill\u00e9s dans <a href=\"https:\/\/factero.ca\/blog\/methodologie-correspondances-tgv\/\">Correspondance, recoupement, \u00e9quivalence stricte : la m\u00e9thode derri\u00e8re les 1302<\/a>. La correspondance est le terme g\u00e9n\u00e9rique : elle regroupe tout rapprochement identifi\u00e9 entre un crit\u00e8re TGV et un crit\u00e8re d&rsquo;un autre r\u00e9f\u00e9rentiel. Le recoupement est un rapprochement partiel, les deux crit\u00e8res touchent le m\u00eame terrain sans le couvrir \u00e9galement. L&rsquo;\u00e9quivalence stricte est la seule des trois cat\u00e9gories qui permet de r\u00e9utiliser une preuve telle quelle, parce que le crit\u00e8re externe d\u00e9montre, dans son int\u00e9gralit\u00e9, ce que le crit\u00e8re TGV exige.<\/p>\n\n<p class=\"wp-block-paragraph\">Sur l&rsquo;ensemble des 1302 correspondances de notre cartographie, toutes familles et tous r\u00e9f\u00e9rentiels confondus, 72 seulement sont des \u00e9quivalences strictes. Le reste, l&rsquo;immense majorit\u00e9, sont des recoupements : utiles pour orienter la preuve, insuffisants pour la fournir telle quelle sans travail additionnel.<\/p>\n\n<p class=\"wp-block-paragraph\">Un exemple concret illustre la nuance mieux qu&rsquo;une d\u00e9finition. Le crit\u00e8re S04.02 de la grille TGV recoupe le crit\u00e8re CC2.2 de SOC 2, \u00e9quivaut strictement au crit\u00e8re A.6.3 d&rsquo;ISO 27001, et recoupe aussi le crit\u00e8re 7.3 d&rsquo;ISO 42001. Un seul crit\u00e8re de la grille TGV, trois r\u00e9f\u00e9rentiels, trois relations diff\u00e9rentes. Si votre \u00e9quipe conclut \u00ab on a une \u00e9quivalence ISO sur ce point, on doit \u00eatre bons pour SOC 2 aussi \u00bb, elle vient de commettre exactement l&rsquo;erreur que cet article existe pour pr\u00e9venir.<\/p>\n\n<h2 id=\"pourquoi-soc-2-arrive-t-il-en-tete-de-la-cartographie\" class=\"wp-block-heading\">Pourquoi SOC 2 arrive-t-il en t\u00eate de la cartographie ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Les Trust Services Criteria de l&rsquo;AICPA (American Institute of Certified Public Accountants), le cadre qui d\u00e9finit ce qu&rsquo;un <a href=\"https:\/\/www.aicpa-cima.com\/topic\/audit-assurance\/audit-and-assurance-greater-than-soc-2\/\" target=\"_blank\" rel=\"noopener nofollow\">rapport SOC 2 examine<\/a>, retiennent cinq crit\u00e8res de confiance :<\/p>\n\n<ul class=\"wp-block-list\"><li>S\u00e9curit\u00e9<\/li><li>Disponibilit\u00e9<\/li><li>Int\u00e9grit\u00e9 du traitement<\/li><li>Confidentialit\u00e9<\/li><li>Protection de la vie priv\u00e9e<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est un terrain large : contr\u00f4le d&rsquo;acc\u00e8s, surveillance, gestion des incidents, chiffrement, continuit\u00e9 des op\u00e9rations.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est pr\u00e9cis\u00e9ment le territoire que couvrent les deux plus grosses familles de la grille TGV, S\u00e9curit\u00e9 (112 crit\u00e8res) et, en partie, Protection des renseignements personnels (108 crit\u00e8res). Ces deux familles concentrent \u00e0 elles seules 220 des 382 crit\u00e8res de la grille, un peu plus de la moiti\u00e9. Ce n&rsquo;est pas une co\u00efncidence si SOC 2, r\u00e9f\u00e9rentiel taill\u00e9 pour les fournisseurs infonuagiques nord-am\u00e9ricains, produit le total de correspondances le plus \u00e9lev\u00e9 de notre cartographie.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est aussi ce qui rend le pi\u00e8ge tentant. Plus le total est \u00e9lev\u00e9, plus la tentation de le lire comme un pourcentage de couverture grandit. Nous ne le convertissons jamais ainsi, et pour une raison pr\u00e9cise : une correspondance peut relier un seul crit\u00e8re TGV \u00e0 plusieurs crit\u00e8res SOC 2, et l&rsquo;inverse est vrai \u00e9galement. Transformer 220 correspondances en \u00ab 220 crit\u00e8res d\u00e9j\u00e0 r\u00e9gl\u00e9s \u00bb, ou pire en une fraction de la grille de 382 crit\u00e8res, double compte l&rsquo;information et gonfle artificiellement une couverture qui, dans les faits, reste \u00e0 d\u00e9montrer crit\u00e8re par crit\u00e8re.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est le n\u0153ud de tout exercice TGV vs SOC 2 : un chiffre \u00e9lev\u00e9 de correspondances ne dit rien, \u00e0 lui seul, du travail qu&rsquo;il reste \u00e0 faire.<\/p>\n\n<h2 id=\"sur-quelles-familles-de-la-grille-tgv-un-rapport-soc-2-aide-t-il-vraiment\" class=\"wp-block-heading\">Sur quelles familles de la grille TGV un rapport SOC 2 aide-t-il vraiment ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le tableau suivant situe, famille par famille, ce qu&rsquo;un rapport SOC 2 peut raisonnablement appuyer dans un dossier de certification TGV.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Famille de la grille TGV (crit\u00e8res)<\/th><th>Ce qu&rsquo;un rapport SOC 2 d\u00e9montre<\/th><\/tr><\/thead><tbody><tr><td>S\u00e9curit\u00e9 (112)<\/td><td>Le terrain le plus solide. Les crit\u00e8res de confiance S\u00e9curit\u00e9 et Disponibilit\u00e9 couvrent une bonne partie du contr\u00f4le d&rsquo;acc\u00e8s, de la surveillance et de la gestion des incidents.<\/td><\/tr><tr><td>Protection des renseignements personnels (108)<\/td><td>Partiellement. Les crit\u00e8res Confidentialit\u00e9 et Protection de la vie priv\u00e9e touchent une partie du terrain, mais pas les exigences propres \u00e0 la Loi 25 qu\u00e9b\u00e9coise.<\/td><\/tr><tr><td>Intelligence artificielle (69)<\/td><td>Peu ou pas. Aucun des cinq crit\u00e8res de confiance de SOC 2 ne vise la gouvernance des syst\u00e8mes d&rsquo;IA.<\/td><\/tr><tr><td>Interop\u00e9rabilit\u00e9 (58)<\/td><td>Peu. SOC 2 ne traite pas des standards d&rsquo;\u00e9change propres au r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois.<\/td><\/tr><tr><td>Technique (26)<\/td><td>Partiellement, selon la port\u00e9e exacte retenue dans votre rapport.<\/td><\/tr><tr><td>Performance (7)<\/td><td>Peu. Le crit\u00e8re Disponibilit\u00e9 touche un sous-ensemble seulement de ce que la TGV v\u00e9rifie.<\/td><\/tr><tr><td>Gouvernance (2)<\/td><td>Aucun lien direct. L&rsquo;interface en fran\u00e7ais et l&rsquo;absence de publicit\u00e9 ne rel\u00e8vent d&rsquo;aucun crit\u00e8re de confiance SOC 2.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Le portrait est net. Sur les 220 correspondances, la concentration se trouve dans les deux familles S\u00e9curit\u00e9 et Protection des renseignements personnels. Les 69 crit\u00e8res de la famille Intelligence artificielle, en particulier, n&rsquo;ont pas d&rsquo;\u00e9quivalent naturel dans SOC 2 : un \u00e9diteur qui mise enti\u00e8rement sur son rapport pour aborder cette famille part de z\u00e9ro. Si votre produit int\u00e8gre de l&rsquo;IA, c&rsquo;est l\u00e0 que l&rsquo;\u00e9cart r\u00e9siduel se creuse le plus, peu importe la qualit\u00e9 de votre attestation SOC 2.<\/p>\n\n<h2 id=\"un-rapport-soc-2-type-ii-sert-il-de-preuve-pour-un-dossier-tgv-en-sante-au-quebec\" class=\"wp-block-heading\">Un rapport SOC 2 Type II sert-il de preuve pour un dossier TGV en sant\u00e9 au Qu\u00e9bec ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui, mais crit\u00e8re par crit\u00e8re, pas comme bloc. Un rapport Type I atteste que des contr\u00f4les \u00e9taient con\u00e7us ad\u00e9quatement \u00e0 un moment donn\u00e9. Un rapport Type II atteste, en plus, qu&rsquo;ils ont fonctionn\u00e9 efficacement sur une p\u00e9riode observ\u00e9e. Pour un dossier TGV, le rapport Type II p\u00e8se plus lourd, parce qu&rsquo;il d\u00e9montre une pratique dans la dur\u00e9e, pas une photo isol\u00e9e.<\/p>\n\n<p class=\"wp-block-paragraph\">Dans les deux cas cependant, le rapport ne remplace pas la v\u00e9rification externe par une firme sp\u00e9cialis\u00e9e que le BCH exige pour tout dossier TGV, ind\u00e9pendamment de ce que votre rapport SOC 2 contient d\u00e9j\u00e0. C&rsquo;est une pi\u00e8ce du dossier, pas le dossier au complet.<\/p>\n\n<p class=\"wp-block-paragraph\">Cette exigence ne s&rsquo;arr\u00eate pas \u00e0 l&rsquo;obtention du certificat. Selon <a href=\"https:\/\/www.msss.gouv.qc.ca\/professionnels\/documents\/technologies-information\/certification-produits-services\/BC_TGV_ATTESTATION.pdf\" target=\"_blank\" rel=\"noopener nofollow\">l&rsquo;attestation de certification TGV, formulaire BC-D0001-01<\/a>, le fournisseur s&rsquo;engage \u00e0 au moins un test d&rsquo;intrusion par ann\u00e9e aupr\u00e8s d&rsquo;une firme ind\u00e9pendante, avec autod\u00e9claration transmise au BC au moins 15 jours avant la date d&rsquo;anniversaire de la certification. Les vuln\u00e9rabilit\u00e9s relev\u00e9es se corrigent selon une \u00e9ch\u00e9ance convenue avec le BC, et toute vuln\u00e9rabilit\u00e9 critique exige un plan de mitigation pr\u00e9sent\u00e9 dans les trois jours ouvrables. Un exercice de rel\u00e8ve informatique s&rsquo;ajoute tous les deux ans. La certification est valide cinq ans, avec reconduction annuelle tant que ces engagements sont respect\u00e9s. Un rapport SOC 2, m\u00eame Type II, ne couvre aucun de ces engagements r\u00e9currents propres \u00e0 la TGV.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;usage r\u00e9aliste d&rsquo;un rapport SOC 2 dans une d\u00e9marche TGV suit quatre \u00e9tapes :<\/p>\n\n<ol class=\"wp-block-list\"><li>Isoler, dans le rapport, les contr\u00f4les qui correspondent r\u00e9ellement \u00e0 un crit\u00e8re TGV donn\u00e9, crit\u00e8re par crit\u00e8re et non par famille enti\u00e8re.<\/li><li>Distinguer, pour chacun, si la relation est une \u00e9quivalence stricte, la preuve suffit alors telle quelle, ou un recoupement, la preuve appuie sans suffire seule.<\/li><li>Documenter l&rsquo;\u00e9cart r\u00e9siduel pour chaque crit\u00e8re o\u00f9 SOC 2 ne couvre rien, en commen\u00e7ant par les 69 crit\u00e8res de la famille intelligence artificielle.<\/li><li>V\u00e9rifier que la port\u00e9e exacte du rapport, syst\u00e8mes inclus et p\u00e9riode observ\u00e9e, correspond bien \u00e0 la version du produit vis\u00e9e par le d\u00e9p\u00f4t TGV.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Cette cartographie compl\u00e8te, les 1302 correspondances et les 13 r\u00e9f\u00e9rentiels qui les composent, sera publi\u00e9e en donn\u00e9es ouvertes plus tard cette ann\u00e9e. En attendant, l&rsquo;exercice se fait dossier par dossier.<\/p>\n\n<h2 id=\"tgv-vs-soc-2-par-ou-commencer-si-vous-detenez-deja-un-rapport\" class=\"wp-block-heading\">TGV vs SOC 2 : par o\u00f9 commencer si vous d\u00e9tenez d\u00e9j\u00e0 un rapport ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Ne partez pas de votre rapport SOC 2 pour deviner votre \u00e9cart : partez de la grille TGV, et voyez ensuite ce que votre rapport d\u00e9montre d\u00e9j\u00e0. C&rsquo;est l&rsquo;inverse de la logique commerciale habituelle, o\u00f9 l&rsquo;attestation existante devient le point de d\u00e9part, mais c&rsquo;est la seule qui \u00e9vite les surprises en v\u00e9rification externe.<\/p>\n\n<p class=\"wp-block-paragraph\">Concr\u00e8tement, un premier passage honn\u00eate de la grille, famille par famille, avec votre rapport SOC 2 ouvert \u00e0 c\u00f4t\u00e9, situe rapidement o\u00f9 vous \u00eates r\u00e9ellement fort, la s\u00e9curit\u00e9 et une partie de la protection des renseignements personnels le plus souvent, et o\u00f9 l&rsquo;\u00e9cart reste entier, l&rsquo;intelligence artificielle et l&rsquo;interop\u00e9rabilit\u00e9 en t\u00eate de liste pour la plupart des \u00e9diteurs SaaS. Le m\u00eame exercice de cartographie existe pour d&rsquo;autres r\u00e9f\u00e9rentiels courants chez les \u00e9diteurs nord-am\u00e9ricains : consultez notre comparatif <a href=\"https:\/\/factero.ca\/blog\/tgv-vs-iso-27001\/\">ISO 27001 et TGV<\/a> si votre organisation d\u00e9tient cette certification, ou <a href=\"https:\/\/factero.ca\/blog\/hipaa-vs-tgv-quebec\/\">Conforme HIPAA ? Ce qu&rsquo;il reste \u00e0 faire pour la TGV du MSSS<\/a> si vous op\u00e9rez aussi aux \u00c9tats-Unis.<\/p>\n\n<p class=\"wp-block-paragraph\">Si un appel d&rsquo;offres est d\u00e9j\u00e0 sur la table, l&rsquo;\u00e9cart r\u00e9siduel de votre exercice TGV vs SOC 2 d\u00e9termine l&rsquo;essentiel du d\u00e9lai et de l&rsquo;effort qu&rsquo;il vous reste \u00e0 absorber. Vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">demander une analyse d&rsquo;\u00e9carts<\/a> pour chiffrer pr\u00e9cis\u00e9ment ce r\u00e9sidu avant de vous engager sur un \u00e9ch\u00e9ancier.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">accompagnement \u00e0 la certification TGV<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-soc-2\/\">accompagnement \u00e0 la pr\u00e9paration SOC 2<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>SOC 2 Type I et Type II, lequel compte pour un dossier TGV ?<\/summary><p class=\"wp-block-paragraph\">Le Type II p\u00e8se plus lourd, parce qu&rsquo;il d\u00e9montre que les contr\u00f4les ont fonctionn\u00e9 sur une p\u00e9riode observ\u00e9e, pas seulement qu&rsquo;ils \u00e9taient bien con\u00e7us \u00e0 un instant donn\u00e9. Un rapport Type I reste une photo isol\u00e9e. Aucun des deux ne dispense de la v\u00e9rification externe ind\u00e9pendante que le Bureau de certification et d&rsquo;homologation exige pour tout dossier TGV.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>SOC 2 est-il une certification ou une attestation ?<\/summary><p class=\"wp-block-paragraph\">Une attestation, pas une certification. Un rapport SOC 2 est produit par une firme comptable ind\u00e9pendante qui atteste que des contr\u00f4les fonctionnent selon les Trust Services Criteria de l&rsquo;AICPA, sans organisme certificateur ni d\u00e9cision d&rsquo;octroi. La TGV, elle, est une certification : une d\u00e9cision du Bureau de certification et d&rsquo;homologation, avec sa propre grille et sa propre v\u00e9rification externe.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quelle est la diff\u00e9rence entre un rapport SOC 1 et un rapport SOC 2 ?<\/summary><p class=\"wp-block-paragraph\">Ils ne visent pas le m\u00eame terrain. Un rapport SOC 1 porte sur les contr\u00f4les internes li\u00e9s \u00e0 l&rsquo;information financi\u00e8re (ICFR) d&rsquo;une organisation, utile pour un auditeur financier. Un rapport SOC 2 porte sur les cinq crit\u00e8res de confiance de l&rsquo;AICPA : s\u00e9curit\u00e9, disponibilit\u00e9, int\u00e9grit\u00e9 du traitement, confidentialit\u00e9 et protection de la vie priv\u00e9e. Pour un dossier TGV, seul SOC 2 touche un terrain comparable \u00e0 la grille.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Existe-t-il une liste des fournisseurs ou produits certifi\u00e9s TGV ?<\/summary><p class=\"wp-block-paragraph\">Oui. Le minist\u00e8re de la Sant\u00e9 et des Services sociaux publie une liste des applications certifi\u00e9es sur sa page officielle de certification des produits et services technologiques. Un rapport SOC 2, m\u00eame complet, ne vous y inscrit pas : seule une certification TGV d\u00e9livr\u00e9e par le Bureau de certification et d&rsquo;homologation figure sur cette liste.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/msss.gouv.qc.ca\/professionnels\/technologies-information\/certification-produits-et-services-technologiques\/\" target=\"_blank\" rel=\"noopener nofollow\">Certification des produits et services technologiques \u2014 Professionnels de la sant\u00e9 (MSSS)<\/a><\/li><li><a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">Orientation \u2014 Certification TGV (MSSS, publication 24-715-38W)<\/a><\/li><li><a href=\"https:\/\/msss.gouv.qc.ca\/professionnels\/documents\/technologies-information\/certification-produits-services\/orientation-tests-intrusion.pdf\" target=\"_blank\" rel=\"noopener nofollow\">Tests d&rsquo;intrusion ou tests de p\u00e9n\u00e9tration : orientation du Bureau de certification et d&rsquo;homologation (MSSS)<\/a><\/li><li><a href=\"https:\/\/www.msss.gouv.qc.ca\/professionnels\/documents\/technologies-information\/certification-produits-services\/BC_TGV_ATTESTATION.pdf\" target=\"_blank\" rel=\"noopener nofollow\">Attestation de certification TGV, formulaire BC-D0001-01 (Bureau de certification, MSSS)<\/a><\/li><li><a href=\"https:\/\/www.aicpa-cima.com\/topic\/audit-assurance\/audit-and-assurance-greater-than-soc-2\/\" target=\"_blank\" rel=\"noopener nofollow\">SOC 2 \u2014 SOC for Service Organizations: Trust Services Criteria (AICPA &amp; CIMA)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"SOC 2 Type I et Type II, lequel compte pour un dossier TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le Type II p\u00e8se plus lourd, parce qu\\u0027il d\u00e9montre que les contr\u00f4les ont fonctionn\u00e9 sur une p\u00e9riode observ\u00e9e, pas seulement qu\\u0027ils \u00e9taient bien con\u00e7us \u00e0 un instant donn\u00e9. Un rapport Type I reste une photo isol\u00e9e. Aucun des deux ne dispense de la v\u00e9rification externe ind\u00e9pendante que le Bureau de certification et d\\u0027homologation exige pour tout dossier TGV.\"}},{\"@type\":\"Question\",\"name\":\"SOC 2 est-il une certification ou une attestation ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Une attestation, pas une certification. Un rapport SOC 2 est produit par une firme comptable ind\u00e9pendante qui atteste que des contr\u00f4les fonctionnent selon les Trust Services Criteria de l\\u0027AICPA, sans organisme certificateur ni d\u00e9cision d\\u0027octroi. La TGV, elle, est une certification : une d\u00e9cision du Bureau de certification et d\\u0027homologation, avec sa propre grille et sa propre v\u00e9rification externe.\"}},{\"@type\":\"Question\",\"name\":\"Quelle est la diff\u00e9rence entre un rapport SOC 1 et un rapport SOC 2 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ils ne visent pas le m\u00eame terrain. Un rapport SOC 1 porte sur les contr\u00f4les internes li\u00e9s \u00e0 l\\u0027information financi\u00e8re (ICFR) d\\u0027une organisation, utile pour un auditeur financier. Un rapport SOC 2 porte sur les cinq crit\u00e8res de confiance de l\\u0027AICPA : s\u00e9curit\u00e9, disponibilit\u00e9, int\u00e9grit\u00e9 du traitement, confidentialit\u00e9 et protection de la vie priv\u00e9e. Pour un dossier TGV, seul SOC 2 touche un terrain comparable \u00e0 la grille.\"}},{\"@type\":\"Question\",\"name\":\"Existe-t-il une liste des fournisseurs ou produits certifi\u00e9s TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. Le minist\u00e8re de la Sant\u00e9 et des Services sociaux publie une liste des applications certifi\u00e9es sur sa page officielle de certification des produits et services technologiques. Un rapport SOC 2, m\u00eame complet, ne vous y inscrit pas : seule une certification TGV d\u00e9livr\u00e9e par le Bureau de certification et d\\u0027homologation figure sur cette liste.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>TGV vs SOC 2 : 220 correspondances, mais peu d&rsquo;\u00e9quivalences strictes. Ce qu&rsquo;un rapport SOC 2 Type II couvre vraiment pour un dossier TGV.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"single-tgv","format":"standard","meta":{"footnotes":""},"categories":[15],"tags":[40,880,50,878,48,876],"class_list":["post-845","post","type-post","status-publish","format-standard","hentry","category-tgv","tag-certification-tgv","tag-rapport-soc-2-type-ii-sante-quebec","tag-sante-quebec","tag-soc-2-certification-tgv-quebec","tag-tgv","tag-tgv-vs-soc-2"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/845","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=845"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/845\/revisions"}],"predecessor-version":[{"id":1338,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/845\/revisions\/1338"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=845"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=845"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=845"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}