Définition
La TGV sert à attester la conformité d'une version d'un produit ou service technologique aux exigences du réseau de la santé et des services sociaux du Québec en matière de sécurité, de protection des renseignements personnels, de performance et de technologie.
Elle compte 382 critères évaluables. La vérification est menée par le Bureau de certification et d'homologation (BCH), en collaboration avec des partenaires spécialisés en cybersécurité et en protection des renseignements personnels.
Ce que la TGV n'est pas
C'est la confusion la plus fréquente, et elle coûte cher. Quatre types de documents circulent sous le mot « conformité », et ils ne répondent pas aux mêmes questions.
| Type | Exemple | Nature |
|---|---|---|
| Norme certifiable | ISO/IEC 27001, ISO/IEC 42001 | Un organisme accrédité vérifie et délivre un certificat. |
| Loi | RGPD, Loi 25 | Ne se certifie pas. On la respecte ou on est en infraction. |
| Attestation | SOC 2 Type 1 et Type 2 | Un rapport signé par un auditeur, pas un certificat. |
| Questionnaire d'accès | TGV | Une porte d'entrée, remplie avec des preuves. |
Déroulement et durée
La démarche se déroule en deux temps. D'abord un accompagnement à la préparation par le bureau de certification, dont la durée dépend de la maturité du produit et de l'organisation, et qui s'étend généralement de une à six semaines. Ensuite la vérification de la TGV par une firme externe spécialisée, menée sur trente jours ouvrables.
Le certificat TGV est valide cinq ans, sous réserve du suivi post-certification.
Portée : le référentiel le plus large
La TGV couvre simultanément des domaines que les autres référentiels traitent séparément.
| Famille | Critères |
|---|---|
| Sécurité | 112 |
| Renseignements personnels | 108 |
| Intelligence artificielle | 69 |
| Interopérabilité | 58 |
| Technique | 26 |
| Performance | 7 |
| Gouvernance | 2 |
ISO 27001 traite la sécurité. Le RGPD traite la vie privée. ISO 42001 traite l'intelligence artificielle. SOC 2 traite la confiance envers un service. La TGV traite les quatre, plus l'interopérabilité, que personne d'autre n'exige.
Faut-il faire la TGV avant ou après ISO 27001 ?
Si votre marché est le réseau de la santé québécois, la TGV vient en premier : c'est la porte d'entrée, et elle force à documenter sécurité, vie privée et intelligence artificielle en même temps. Les correspondances publiées ici montrent que ce travail couvre ensuite 68 des 123 contrôles d'ISO/IEC 27001:2022 et 31 des 67 contrôles d'ISO/IEC 42001:2023.
Source officielle
Le document de référence est publié par le ministère de la Santé et des Services sociaux : Certification — Trousse globale de vérification (TGV), publication 24-715-38W, ISBN 978-2-550-97589-2.