{"id":875,"date":"2026-09-14T07:00:00","date_gmt":"2026-09-14T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=875"},"modified":"2026-09-04T13:16:46","modified_gmt":"2026-09-04T18:16:46","slug":"programme-conformite-unifie-tgv","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/programme-conformite-unifie-tgv\/","title":{"rendered":"Programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels : TGV, SOC 2, ISO 27001"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels cartographie une seule fois les preuves qui r\u00e9pondent \u00e0 la TGV (Trousse globale de v\u00e9rification), \u00e0 SOC 2 et \u00e0 ISO 27001, plut\u00f4t que de g\u00e9rer trois dossiers s\u00e9par\u00e9s.<\/strong> Le d\u00e9p\u00f4t Correspondances TGV recense 1302 correspondances entre 13 r\u00e9f\u00e9rentiels, mais 72 seulement sont des \u00e9quivalences strictes : la lecture reste contextuelle.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/tgv.png\" alt=\"programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels : cartographier les preuves communes\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Si vous \u00eates responsable de la s\u00e9curit\u00e9 de l&rsquo;information (RSSI) et que vous jonglez avec une d\u00e9marche TGV, un renouvellement SOC 2 (l&rsquo;attestation d&rsquo;audit fond\u00e9e sur les <a href=\"https:\/\/www.aicpa-cima.com\/\" target=\"_blank\" rel=\"noopener nofollow\">Trust Services Criteria<\/a> de l&rsquo;AICPA, courante en Am\u00e9rique du Nord) et un objectif <a href=\"https:\/\/www.iso.org\/\" target=\"_blank\" rel=\"noopener nofollow\">ISO\/IEC 27001<\/a> (la norme internationale de gestion de la s\u00e9curit\u00e9 de l&rsquo;information), vous connaissez d\u00e9j\u00e0 le probl\u00e8me. Trois \u00e9quipes d&rsquo;audit, trois calendriers, et le sentiment de r\u00e9pondre trois fois \u00e0 la m\u00eame question sous trois formulaires diff\u00e9rents. Ce guide explique comment construire un seul programme, pas trois.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#pourquoi-mutualiser-la-conformite-tgv-soc-2-et-iso-27001-coute-t-il-moins-cher-que-trois-demarches-separees\">Pourquoi mutualiser la conformit\u00e9 TGV, SOC 2 et ISO 27001 co\u00fbte-t-il moins cher que trois d\u00e9marches s\u00e9par\u00e9es ?<\/a><\/li><li class=\"\"><a href=\"#qu-est-ce-qu-une-preuve-qui-alimente-plusieurs-dossiers-a-la-fois\">Qu&rsquo;est-ce qu&rsquo;une preuve qui alimente plusieurs dossiers \u00e0 la fois ?<\/a><\/li><li class=\"\"><a href=\"#que-revelent-les-1302-correspondances-du-depot-correspondances-tgv\">Que r\u00e9v\u00e8lent les 1302 correspondances du d\u00e9p\u00f4t Correspondances TGV ?<\/a><\/li><li class=\"\"><a href=\"#comment-batir-un-programme-de-conformite-multi-referentiels-etape-par-etape\">Comment b\u00e2tir un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels, \u00e9tape par \u00e9tape ?<\/a><\/li><li class=\"\"><a href=\"#qui-doit-porter-ce-programme-dans-l-organisation\">Qui doit porter ce programme dans l&rsquo;organisation ?<\/a><\/li><li class=\"\"><a href=\"#quelle-est-la-limite-d-une-gestion-de-conformite-unifiee\">Quelle est la limite d&rsquo;une gestion de conformit\u00e9 unifi\u00e9e ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"pourquoi-mutualiser-la-conformite-tgv-soc-2-et-iso-27001-coute-t-il-moins-cher-que-trois-demarches-separees\" class=\"wp-block-heading\">Pourquoi mutualiser la conformit\u00e9 TGV, SOC 2 et ISO 27001 co\u00fbte-t-il moins cher que trois d\u00e9marches s\u00e9par\u00e9es ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Trois d\u00e9marches s\u00e9par\u00e9es co\u00fbtent plus cher qu&rsquo;une seule parce qu&rsquo;elles font produire les m\u00eames preuves \u00e0 trois reprises, pour trois auditeurs distincts.<\/strong> La TGV, SOC 2 et ISO 27001 partagent une bonne partie de leurs exigences, d\u00e9crites pour la TGV dans <a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">l&rsquo;orientation officielle du MSSS sur la certification TGV<\/a> (publication 24-715-38W). Les familles S\u00e9curit\u00e9 et Protection des renseignements personnels de la grille TGV comptent \u00e0 elles seules 220 crit\u00e8res sur les 382 que compte la grille compl\u00e8te, et une part importante recoupe directement les contr\u00f4les d&rsquo;annexe d&rsquo;ISO 27001 et les crit\u00e8res de confiance de SOC 2.<\/p>\n\n<p class=\"wp-block-paragraph\">Sans programme commun, chaque d\u00e9marche part de z\u00e9ro : le m\u00eame travail se r\u00e9p\u00e8te trois fois, pour trois auditeurs diff\u00e9rents, \u00e0 trois moments de l&rsquo;ann\u00e9e qui ne s&rsquo;alignent presque jamais.<\/p>\n\n<ul class=\"wp-block-list\"><li>Politique de s\u00e9curit\u00e9, r\u00e9dig\u00e9e \u00e0 part pour chaque d\u00e9marche.<\/li><li>Journaux d&rsquo;acc\u00e8s, rassembl\u00e9s \u00e0 part pour chaque auditeur.<\/li><li>Processus de gestion des incidents, expliqu\u00e9 \u00e0 part \u00e0 chaque auditeur.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Le travail triple sans que la s\u00e9curit\u00e9 r\u00e9elle de l&rsquo;organisation ne progresse d&rsquo;un cran. C&rsquo;est un co\u00fbt purement administratif, celui de raconter la m\u00eame histoire trois fois plut\u00f4t qu&rsquo;une, et c&rsquo;est exactement ce co\u00fbt qu&rsquo;un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels vise \u00e0 \u00e9liminer.<\/p>\n\n<p class=\"wp-block-paragraph\">Le calendrier aggrave le probl\u00e8me. L&rsquo;audit SOC 2 tombe souvent en fin d&rsquo;ann\u00e9e financi\u00e8re, la v\u00e9rification TGV suit le rythme de l&rsquo;appel d&rsquo;offres qui l&rsquo;a d\u00e9clench\u00e9e, et l&rsquo;audit de surveillance ISO 27001 arrive \u00e0 sa propre date anniversaire. Trois \u00e9quipes internes finissent par courir apr\u00e8s trois auditeurs diff\u00e9rents dans des fen\u00eatres qui se chevauchent, au moment pr\u00e9cis o\u00f9 elles auraient le plus besoin de travailler ensemble sur les m\u00eames preuves.<\/p>\n\n<h2 id=\"qu-est-ce-qu-une-preuve-qui-alimente-plusieurs-dossiers-a-la-fois\" class=\"wp-block-heading\">Qu&rsquo;est-ce qu&rsquo;une preuve qui alimente plusieurs dossiers \u00e0 la fois ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Prenez le crit\u00e8re S04.02 de la famille S\u00e9curit\u00e9 de la grille TGV, qui porte sur la sensibilisation et la formation du personnel \u00e0 la s\u00e9curit\u00e9 de l&rsquo;information. Le d\u00e9p\u00f4t Correspondances TGV le relie \u00e0 trois autres r\u00e9f\u00e9rentiels, dont ISO\/IEC 42001, la norme de gestion des syst\u00e8mes d&rsquo;intelligence artificielle.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>R\u00e9f\u00e9rentiel<\/th><th>Rep\u00e8re<\/th><th>Port\u00e9e du contr\u00f4le<\/th><\/tr><\/thead><tbody><tr><td>TGV, famille S\u00e9curit\u00e9<\/td><td>S04.02<\/td><td>Sensibilisation et formation \u00e0 la s\u00e9curit\u00e9<\/td><\/tr><tr><td>ISO\/IEC 27001:2022<\/td><td>Annexe A.6.3<\/td><td>Sensibilisation, \u00e9ducation et formation \u00e0 la s\u00e9curit\u00e9 de l&rsquo;information<\/td><\/tr><tr><td>SOC 2, Trust Services Criteria<\/td><td>CC2.2<\/td><td>Communication interne des responsabilit\u00e9s li\u00e9es au contr\u00f4le interne<\/td><\/tr><tr><td>ISO\/IEC 42001<\/td><td>Clause 7.3<\/td><td>Sensibilisation<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Un m\u00eame registre de formation, correctement document\u00e9 et dat\u00e9, sert alors de preuve partielle pour quatre dossiers d&rsquo;audit distincts. C&rsquo;est tout le principe d&rsquo;un programme unifi\u00e9 : une preuve mont\u00e9e une fois, r\u00e9utilis\u00e9e, pas reconstruite pour chaque auditeur. Nous d\u00e9taillons ce cas dans <a href=\"https:\/\/factero.ca\/blog\/s04-02-preuve-multi-referentiels\/\">S04.02 : une preuve mont\u00e9e une fois sert trois fois<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce type de recoupement n&rsquo;est ni rare ni exceptionnel. Il est la r\u00e8gle plut\u00f4t que l&rsquo;exception dans les familles S\u00e9curit\u00e9 et Protection des renseignements personnels, ce qui explique pourquoi un programme con\u00e7u autour des preuves plut\u00f4t qu&rsquo;autour des r\u00e9f\u00e9rentiels change r\u00e9ellement la charge de travail.<\/p>\n\n<h2 id=\"que-revelent-les-1302-correspondances-du-depot-correspondances-tgv\" class=\"wp-block-heading\">Que r\u00e9v\u00e8lent les 1302 correspondances du d\u00e9p\u00f4t Correspondances TGV ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le d\u00e9p\u00f4t Correspondances TGV, publi\u00e9 en donn\u00e9es ouvertes sous licence CC BY 4.0 (Creative Commons, avec attribution), cartographie les 382 crit\u00e8res de la grille TGV contre 13 r\u00e9f\u00e9rentiels reconnus. Nous avons document\u00e9 sa publication dans <a href=\"https:\/\/factero.ca\/blog\/publication-depot-correspondances-tgv\/\">Publication du d\u00e9p\u00f4t git Correspondances TGV : 1302 correspondances en donn\u00e9es ouvertes<\/a>. Le d\u00e9p\u00f4t lui-m\u00eame, incluant le fichier de correspondances complet, est consultable sur <a href=\"https:\/\/certification-tgv.ca\/\" target=\"_blank\" rel=\"noopener nofollow\">le site du d\u00e9p\u00f4t Correspondances TGV<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Sur les 1302 correspondances qu&rsquo;il recense, 72 seulement sont des \u00e9quivalences strictes, soit 5,5 %. Les 94,5 % restantes sont des recoupements partiels : le crit\u00e8re TGV et le contr\u00f4le de l&rsquo;autre r\u00e9f\u00e9rentiel touchent au m\u00eame sujet, sans couvrir exactement la m\u00eame port\u00e9e ni exiger la m\u00eame profondeur de preuve. Un recoupement partiel signale o\u00f9 chercher, pas ce qu&rsquo;il faut copier.<\/p>\n\n<p class=\"wp-block-paragraph\">La comparaison r\u00e9f\u00e9rentiel par r\u00e9f\u00e9rentiel confirme l&rsquo;ampleur du travail de lecture qui reste \u00e0 faire. Notre analyse <a href=\"https:\/\/factero.ca\/blog\/tgv-vs-soc-2\/\">SOC 2 et TGV<\/a> d\u00e9nombre 220 correspondances entre les deux r\u00e9f\u00e9rentiels. Notre analyse <a href=\"https:\/\/factero.ca\/blog\/tgv-vs-iso-27001\/\">ISO 27001 et TGV<\/a> en d\u00e9nombre 135, dont 36 \u00e9quivalences strictes seulement. Dans les deux cas, la majorit\u00e9 des correspondances exige un jugement, pas une case \u00e0 cocher.<\/p>\n\n<p class=\"wp-block-paragraph\">Un programme unifi\u00e9 qui traiterait ces correspondances comme des \u00e9quivalences automatiques produirait, au final, un dossier TGV fragile, un rapport SOC 2 contest\u00e9 et un certificat ISO 27001 qui ne survivrait pas \u00e0 l&rsquo;audit de surveillance suivant. Le d\u00e9p\u00f4t est un point de d\u00e9part pour concevoir le programme, pas un raccourci pour l&rsquo;ex\u00e9cuter.<\/p>\n\n<h2 id=\"comment-batir-un-programme-de-conformite-multi-referentiels-etape-par-etape\" class=\"wp-block-heading\">Comment b\u00e2tir un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels, \u00e9tape par \u00e9tape ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Cinq \u00e9tapes structurent la d\u00e9marche, dans cet ordre.<\/p>\n\n<ol class=\"wp-block-list\"><li>Dressez l&rsquo;inventaire des r\u00e9f\u00e9rentiels actifs et pr\u00e9vus : TGV en cours, SOC 2 en renouvellement, ISO 27001 vis\u00e9e, et tout autre r\u00e9f\u00e9rentiel que vos clients ou vos appels d&rsquo;offres pourraient exiger dans les deux prochaines ann\u00e9es. Un programme con\u00e7u pour trois r\u00e9f\u00e9rentiels s&rsquo;adapte plus facilement \u00e0 un quatri\u00e8me qu&rsquo;un programme con\u00e7u r\u00e9f\u00e9rentiel par r\u00e9f\u00e9rentiel.<\/li><li>Consultez le d\u00e9p\u00f4t Correspondances TGV pour rep\u00e9rer les recoupements pertinents \u00e0 votre situation plut\u00f4t que de partir d&rsquo;une page blanche pour chacun de vos r\u00e9f\u00e9rentiels. Ne retenez que les correspondances qui touchent des crit\u00e8res r\u00e9ellement applicables \u00e0 votre produit ou votre organisation.<\/li><li>Distinguez, pour chaque recoupement retenu, une \u00e9quivalence stricte d&rsquo;un simple recoupement partiel, et documentez cette distinction dans votre registre. Une preuve con\u00e7ue pour couvrir un recoupement partiel doit pr\u00e9ciser explicitement ce qu&rsquo;elle couvre et ce qu&rsquo;elle ne couvre pas, pour l&rsquo;auditeur qui la lira dans six mois.<\/li><li>Construisez un registre de preuves unique, organis\u00e9 par contr\u00f4le plut\u00f4t que par r\u00e9f\u00e9rentiel, pour que chaque preuve pointe vers tous les dossiers qu&rsquo;elle alimente. Notre guide <a href=\"https:\/\/factero.ca\/blog\/registre-preuves-tgv\/\">Construire son registre de preuves TGV, famille par famille<\/a> d\u00e9taille la m\u00e9canique pour la portion TGV de ce registre.<\/li><li>Nommez un propri\u00e9taire par preuve et fixez un cycle de r\u00e9vision commun aux trois calendriers d&rsquo;audit, plut\u00f4t que trois cycles ind\u00e9pendants qui finissent in\u00e9vitablement par se chevaucher aux pires moments de l&rsquo;ann\u00e9e.<\/li><\/ol>\n\n<h2 id=\"qui-doit-porter-ce-programme-dans-l-organisation\" class=\"wp-block-heading\">Qui doit porter ce programme dans l&rsquo;organisation ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le RSSI est le point de convergence naturel d&rsquo;un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels, mais il ne le b\u00e2tit pas seul :<\/p>\n\n<ul class=\"wp-block-list\"><li>Preuves de formation : fournies par les ressources humaines.<\/li><li>Preuves de protection des renseignements personnels : croisent votre programme Loi 25, souvent port\u00e9 par un responsable distinct.<\/li><li>Preuves techniques : fournies par les \u00e9quipes d&rsquo;infrastructure et de d\u00e9veloppement, qui ont leurs propres \u00e9ch\u00e9anciers.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Un programme unifi\u00e9 qui reste enferm\u00e9 dans un seul silo technique reproduit, \u00e0 l&rsquo;interne, le probl\u00e8me qu&rsquo;il cherche \u00e0 r\u00e9soudre : trois versions de la v\u00e9rit\u00e9, une par r\u00e9f\u00e9rentiel, chacune tenue \u00e0 jour par des gens qui ne se parlent pas. Le RSSI qui r\u00e9ussit obtient un mandat clair pour centraliser la collecte des preuves, avec l&rsquo;appui de la direction, pas seulement le mandat de coordonner de loin des \u00e9quipes qui gardent chacune leurs propres tableurs.<\/p>\n\n<p class=\"wp-block-paragraph\">Concr\u00e8tement, ce mandat se traduit par un comit\u00e9 restreint, quatre ou cinq personnes, qui se r\u00e9unit avant chaque cycle d&rsquo;audit pour revoir l&rsquo;\u00e9tat du registre commun. Sans ce m\u00e9canisme, chaque \u00e9quipe continue de pr\u00e9parer son dossier isol\u00e9ment d\u00e8s que la pression du calendrier remonte, et le programme unifi\u00e9 reste un document th\u00e9orique plut\u00f4t qu&rsquo;une pratique r\u00e9elle.<\/p>\n\n<h2 id=\"quelle-est-la-limite-d-une-gestion-de-conformite-unifiee\" class=\"wp-block-heading\">Quelle est la limite d&rsquo;une gestion de conformit\u00e9 unifi\u00e9e ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>La limite de la mutualisation, c&rsquo;est qu&rsquo;une \u00e9quivalence stricte seule permet de r\u00e9utiliser litt\u00e9ralement la m\u00eame preuve pour deux dossiers d&rsquo;audit.<\/strong> Un recoupement partiel, la majorit\u00e9 des 1302 correspondances du d\u00e9p\u00f4t, exige un jugement document\u00e9 \u00e0 chaque r\u00e9utilisation, pas une copie automatique.<\/p>\n\n<p class=\"wp-block-paragraph\">Confier cette lecture \u00e0 un outil automatis\u00e9 sans validation humaine est un raccourci risqu\u00e9. Le d\u00e9p\u00f4t Correspondances TGV est un outil de conception du programme, pas un substitut au travail de v\u00e9rification qu&rsquo;exige chaque auditeur pour chaque r\u00e9f\u00e9rentiel. Un consultant qui promet qu&rsquo;une matrice de correspondances \u00e9limine le travail de pr\u00e9paration vous dit quelque chose sur la rigueur de son offre, pas sur la r\u00e9alit\u00e9 de la grille. Pour la TGV, la d\u00e9cision reste celle de Sant\u00e9 Qu\u00e9bec, dont la page de certification des solutions num\u00e9riques fait foi ; pour SOC 2 et ISO 27001, elle appartient respectivement \u00e0 l&rsquo;auditeur mandat\u00e9 et \u00e0 l&rsquo;organisme de certification accr\u00e9dit\u00e9. Aucun accompagnement, chez Factero ou ailleurs, ne remplace cette d\u00e9cision.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous accompagnons des organisations qui maintiennent plusieurs certifications en parall\u00e8le dans la conception de ce type de programme : cartographie des recoupements pertinents \u00e0 leur cas, structure du registre de preuves, priorisation des \u00e9carts entre les trois d\u00e9marches. Vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">concevoir votre programme unifi\u00e9 avec Factero<\/a> : un premier appel suffit pour situer o\u00f9 se trouvent vos recoupements r\u00e9els et o\u00f9 le travail reste entier.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">programme d&rsquo;accompagnement \u00e0 la certification TGV<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-soc-2\/\">accompagnement \u00e0 la pr\u00e9paration SOC 2<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-iso-27001\/\">accompagnement \u00e0 la certification ISO 27001<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>SOC 2 et ISO 27001, est-ce la m\u00eame chose ?<\/summary><p class=\"wp-block-paragraph\">Non. SOC 2 est une attestation d&rsquo;audit fond\u00e9e sur les Trust Services Criteria de l&rsquo;AICPA, produite par un auditeur mandat\u00e9. ISO\/IEC 27001 est une norme internationale certifi\u00e9e par un organisme de certification accr\u00e9dit\u00e9 ind\u00e9pendant. Les deux couvrent des contr\u00f4les proches, comme le montre le recoupement entre le crit\u00e8re CC2.2 de SOC 2 et l&rsquo;annexe A.6.3 d&rsquo;ISO 27001 sur la sensibilisation \u00e0 la s\u00e9curit\u00e9, mais restent deux d\u00e9marches distinctes, chacune avec son propre d\u00e9cideur.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Qu&rsquo;est-ce qu&rsquo;une matrice de correspondance (crosswalk) entre r\u00e9f\u00e9rentiels de conformit\u00e9 ?<\/summary><p class=\"wp-block-paragraph\">Une matrice de correspondance, ou crosswalk, relie les crit\u00e8res d&rsquo;un r\u00e9f\u00e9rentiel, la grille TGV par exemple, aux contr\u00f4les \u00e9quivalents ou proches d&rsquo;autres r\u00e9f\u00e9rentiels comme ISO 27001 ou SOC 2. Le d\u00e9p\u00f4t Correspondances TGV en est un exemple : 1302 correspondances entre 13 r\u00e9f\u00e9rentiels. Elle sert \u00e0 rep\u00e9rer o\u00f9 chercher les recoupements, pas \u00e0 d\u00e9cider si une preuve les satisfait r\u00e9ellement : ce travail reste celui de l&rsquo;auditeur.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le d\u00e9p\u00f4t Correspondances TGV remplace-t-il un audit ?<\/summary><p class=\"wp-block-paragraph\">Non. Il indique o\u00f9 chercher les recoupements entre r\u00e9f\u00e9rentiels, pas si votre organisation les respecte r\u00e9ellement dans les faits. La v\u00e9rification reste le travail de l&rsquo;auditeur externe, pour chaque r\u00e9f\u00e9rentiel, s\u00e9par\u00e9ment.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un programme unifi\u00e9 r\u00e9duit-il le nombre d&rsquo;audits \u00e0 passer ?<\/summary><p class=\"wp-block-paragraph\">Non. La TGV, SOC 2 et ISO 27001 restent trois d\u00e9marches distinctes, avec leurs propres d\u00e9cideurs et leurs propres calendriers. Un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels r\u00e9duit l&rsquo;effort de pr\u00e9paration et de collecte de preuves, pas le nombre de v\u00e9rifications externes requises.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>O\u00f9 trouve-t-on la liste des produits certifi\u00e9s TGV ?<\/summary><p class=\"wp-block-paragraph\">Sant\u00e9 Qu\u00e9bec la publie sur sa page de certification des solutions num\u00e9riques, dans la section consacr\u00e9e aux applications certifi\u00e9es. Le d\u00e9p\u00f4t Correspondances TGV ne remplace pas ce registre : il cartographie les crit\u00e8res de la grille contre d&rsquo;autres r\u00e9f\u00e9rentiels, il ne confirme aucun statut de certification. Les deux ressources r\u00e9pondent \u00e0 des questions diff\u00e9rentes.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/certification-tgv.ca\/\" target=\"_blank\" rel=\"noopener nofollow\">D\u00e9p\u00f4t ouvert Correspondances TGV (CC BY 4.0)<\/a><\/li><li><a href=\"https:\/\/msss.gouv.qc.ca\/professionnels\/technologies-information\/certification-produits-et-services-technologiques\/\" target=\"_blank\" rel=\"noopener nofollow\">Page de certification des solutions num\u00e9riques (Sant\u00e9 Qu\u00e9bec \/ MSSS)<\/a><\/li><li><a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">Orientation \u2014 Certification TGV (MSSS, publication 24-715-38W)<\/a><\/li><li><a href=\"https:\/\/www.aicpa-cima.com\/\" target=\"_blank\" rel=\"noopener nofollow\">Trust Services Criteria (SOC 2) \u2014 AICPA<\/a><\/li><li><a href=\"https:\/\/www.iso.org\/\" target=\"_blank\" rel=\"noopener nofollow\">ISO\/IEC 27001:2022 \u2014 site officiel de l&rsquo;ISO<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"SOC 2 et ISO 27001, est-ce la m\u00eame chose ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. SOC 2 est une attestation d\\u0027audit fond\u00e9e sur les Trust Services Criteria de l\\u0027AICPA, produite par un auditeur mandat\u00e9. ISO\/IEC 27001 est une norme internationale certifi\u00e9e par un organisme de certification accr\u00e9dit\u00e9 ind\u00e9pendant. Les deux couvrent des contr\u00f4les proches, comme le montre le recoupement entre le crit\u00e8re CC2.2 de SOC 2 et l\\u0027annexe A.6.3 d\\u0027ISO 27001 sur la sensibilisation \u00e0 la s\u00e9curit\u00e9, mais restent deux d\u00e9marches distinctes, chacune avec son propre d\u00e9cideur.\"}},{\"@type\":\"Question\",\"name\":\"Qu\\u0027est-ce qu\\u0027une matrice de correspondance (crosswalk) entre r\u00e9f\u00e9rentiels de conformit\u00e9 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Une matrice de correspondance, ou crosswalk, relie les crit\u00e8res d\\u0027un r\u00e9f\u00e9rentiel, la grille TGV par exemple, aux contr\u00f4les \u00e9quivalents ou proches d\\u0027autres r\u00e9f\u00e9rentiels comme ISO 27001 ou SOC 2. Le d\u00e9p\u00f4t Correspondances TGV en est un exemple : 1302 correspondances entre 13 r\u00e9f\u00e9rentiels. Elle sert \u00e0 rep\u00e9rer o\u00f9 chercher les recoupements, pas \u00e0 d\u00e9cider si une preuve les satisfait r\u00e9ellement : ce travail reste celui de l\\u0027auditeur.\"}},{\"@type\":\"Question\",\"name\":\"Le d\u00e9p\u00f4t Correspondances TGV remplace-t-il un audit ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Il indique o\u00f9 chercher les recoupements entre r\u00e9f\u00e9rentiels, pas si votre organisation les respecte r\u00e9ellement dans les faits. La v\u00e9rification reste le travail de l\\u0027auditeur externe, pour chaque r\u00e9f\u00e9rentiel, s\u00e9par\u00e9ment.\"}},{\"@type\":\"Question\",\"name\":\"Un programme unifi\u00e9 r\u00e9duit-il le nombre d\\u0027audits \u00e0 passer ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. La TGV, SOC 2 et ISO 27001 restent trois d\u00e9marches distinctes, avec leurs propres d\u00e9cideurs et leurs propres calendriers. Un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels r\u00e9duit l\\u0027effort de pr\u00e9paration et de collecte de preuves, pas le nombre de v\u00e9rifications externes requises.\"}},{\"@type\":\"Question\",\"name\":\"O\u00f9 trouve-t-on la liste des produits certifi\u00e9s TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Sant\u00e9 Qu\u00e9bec la publie sur sa page de certification des solutions num\u00e9riques, dans la section consacr\u00e9e aux applications certifi\u00e9es. Le d\u00e9p\u00f4t Correspondances TGV ne remplace pas ce registre : il cartographie les crit\u00e8res de la grille contre d\\u0027autres r\u00e9f\u00e9rentiels, il ne confirme aucun statut de certification. Les deux ressources r\u00e9pondent \u00e0 des questions diff\u00e9rentes.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Comment b\u00e2tir un programme de conformit\u00e9 multi-r\u00e9f\u00e9rentiels pour TGV, SOC 2 et ISO 27001 : cartographier les preuves communes en 5 \u00e9tapes.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"single-tgv","format":"standard","meta":{"footnotes":""},"categories":[15],"tags":[40,1066,1064,1062,50,48],"class_list":["post-875","post","type-post","status-publish","format-standard","hentry","category-tgv","tag-certification-tgv","tag-gestion-conformite-unifiee","tag-mutualiser-conformite-tgv-soc-2-iso","tag-programme-de-conformite-multi-referentiels","tag-sante-quebec","tag-tgv"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/875","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=875"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/875\/revisions"}],"predecessor-version":[{"id":1368,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/875\/revisions\/1368"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=875"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=875"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=875"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}