Cinq cadres couverts en pratique courante. Chaque mandat livre le dossier documentaire qui passe l'audit — politiques, procédures, registres, preuves opérationnelles, plan de remédiation des écarts. Pas de copier-coller de gabarits, pas de PDF de cinquante pages que personne ne lira.
Modernisation des dispositions législatives en matière de protection des renseignements personnels — entrée en vigueur progressive 2022–2024. Le cadre s'applique à toute organisation québécoise qui détient des renseignements personnels, sans seuil de taille. Sanctions jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial.
Couverture : 17 articles / 18 (art. 4 — biométrie spécifique — sur demande).
Dossier Loi 25 complet : politique de gouvernance publique, mandat du responsable signé, gabarit EFVP, gabarit registre incidents, modèles de consentement, procédure de réponse aux demandes d'accès, formation employés certifiée.
ISO/IEC 27001:2022 — la norme de référence pour la gestion de la sécurité de l'information. Reconnue par les acheteurs corporatifs, exigée fréquemment en appel d'offres internationaux, signal de maturité de gouvernance auprès de votre auditeur cyber.
Couverture totale : 94 / 114 contrôles applicables après SoA · 87 % moyenne réseau.
BSI · BV · DNV · SAI Global
— accompagnement audit-side neutre
Cadre AICPA / CPA Canada le plus courant pour démontrer la maturité opérationnelle à des clients institutionnels et à des investisseurs. Type II prouve que les contrôles sont non seulement conçus mais effectivement opérés sur une période de 6 à 12 mois.
« En préparation SOC 2 II, l'auditeur a demandé treize preuves opérationnelles. CostLink avait déjà les treize prêtes. »
PCI-DSS v4.0.1 — applicable à toute organisation qui stocke, traite ou transmet des données de cartes. Les détaillants multi-sites, plateformes e-commerce, restaurants franchisés, sont presque tous concernés. La version 4 introduit l'approche personnalisée et 64 nouvelles exigences pleinement actives depuis le 31 mars 2025.
NIST Cybersecurity Framework 2.0 — révision majeure publiée en février 2024 avec l'ajout formel de la fonction « Govern ». Cadre de référence non-certifiable mais largement utilisé en cadrage initial, en réponse à appels d'offres (notamment fédéraux Canada et US) et en alignement avec assureurs cyber.
Stratégie · politique · supervision. Nouvelle fonction en v2 — couverture 82 %.
Inventaire d'actifs · évaluation des risques · gestion fournisseurs. Couverture 78 %.
Contrôles d'accès · formation · données · maintenance · plateforme. Couverture 84 %.
Surveillance continue · analyse · détection des anomalies. Couverture 91 % (MDR au cœur).
Plan d'intervention · communication · analyse · mitigation · améliorations. Couverture 88 %.
Plan de reprise · communication · améliorations. Couverture 72 % (BCP client-dépendant).
Beaucoup de cadres partagent des contrôles. Un mandat bien cadré couvre simultanément 3 à 4 cadres avec un seul corpus documentaire. Voici les chevauchements typiques.
L'évaluation initiale identifie les cadres applicables à votre contexte, votre secteur, vos clients, vos exigences contractuelles. La feuille de route remise à la fin priorise par effort et par valeur.