Ressources GRC gratuites
Guides pratiques, modèles et webinaires pour vous aider à bâtir votre programme GRC, que vous utilisiez CapGRC ou non.
Toutes les ressources
Recherchez parmi nos guides, articles, fiches techniques, webinaires et gabarits
Test de préjudice sérieux
Quatre questions pour voir si un incident penche vers un avis à la Commission. Tous les incidents vont au registre.
Délai de 30 jours
La date limite pour répondre à une demande d'accès, de rectification ou de portabilité.
Quelle loi s'applique
Secteur privé, organisme public ou LPRPDE, selon le permis et le lieu de l'activité.
Calculateur poids de contrôle
Calculez le poids d’un contrôle CapGRC (type, étendue, actifs protégés, objectifs) avec variables statiques modifiables.
Calculateur de retour sur investissement
Estimez les économies de temps et d’argent générées par CapGRC pour votre organisation.
Préparer un rapport SOC 2 dans une entreprise canadienne
Périmètre, critères, Type I et Type II. Les acheteurs retiennent en général un Type II, souvent sur 12 mois.
BSIF B-13 et B-10 : ce que montre une institution fédérale
B-13 depuis le 1er janvier 2024, B-10 depuis le 1er mai 2024. Une caisse ou un assureur de l'AMF suit un autre régime.
AMF et risques TIC : ce que montre une institution québécoise
Ligne directrice de février 2020, à s'approprier d'ici le 27 février 2021. Assureurs, institutions de dépôt et sociétés de fiducie sous l'AMF.
NIST CSF 2.0 : les six fonctions, sans deuxième programme
Depuis février 2024, le cadre compte six fonctions, dont Gouverner. Il range les contrôles déjà tenus pour l'ISO 27001 ou le SOC 2.
Loi 25 ou PIPEDA : quelle loi s'applique à votre organisation
Au Québec, c'est la loi provinciale. La LPRPDE vise les flux commerciaux entre provinces et hors du Canada.
Amendes de la Loi 25 : ce que risque vraiment une organisation
Pour les infractions les plus graves, l'amende peut atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
Responsable de la protection des renseignements personnels : rôle et désignation
Sans désignation publiée depuis le 22 septembre 2022, la personne ayant la plus haute autorité est responsable.
Gabarit de politique de confidentialité Loi 25
Une politique à compléter : fins, conservation, droits, et technologies qui identifient ou profilent.
Gabarit de registre des incidents de confidentialité
Les champs du registre, y compris les incidents qui ne sont pas déclarés à la Commission, conservés au moins cinq ans.
Gabarit de clause de sous-traitant Loi 25
Les engagements écrits avant qu'un fournisseur traite des renseignements personnels.
Gabarit d'évaluation d'un transfert hors du Québec
L'évaluation écrite avant qu'un renseignement quitte le Québec, y compris vers une autre province.
Consentement Loi 25 : formulaires, infolettre et profilage
Le consentement est demandé pour une fin précise. Un renseignement sensible exige un consentement exprès.
Quand déclarer un incident à la Commission d'accès à l'information
L'avis vise le risque de préjudice sérieux. Tous les autres incidents vont quand même au registre.
Biométrie au Québec : consentement, solution de rechange et déclaration
On ne peut pas exiger une empreinte ou un visage pour confirmer l'identité. Déclaration à la Commission au moins 60 jours avant une banque.
Décision automatisée et Loi 25 : ce qu'il faut dire à la personne
Une décision exclusivement automatisée s'accompagne d'une information et d'une révision par un membre du personnel.
Loi 25 : municipalité, clinique ou OBNL
La municipalité suit la loi du secteur public. La clinique privée et l'OBNL qui exploite une entreprise suivent la loi du secteur privé.
Répondre aux demandes d'accès, de rectification et de portabilité
Délai de 30 jours, vérification d'identité et limites du droit à la portabilité depuis le 22 septembre 2024.
Conserver les renseignements personnels : fixer une durée, puis détruire
La Loi 25 n'impose pas un délai unique. Comment écrire une règle par catégorie et documenter la destruction.
Ce qu'il faut vérifier chez un fournisseur avant de signer
Classer les fournisseurs, exiger un contrat écrit et revoir les dossiers critiques au lieu de les oublier après l'accueil.
Rédiger une politique de confidentialité conforme à la Loi 25
Les sections à écrire, celles à retirer, et où publier le texte pour qu'il corresponde aux traitements réels.
Communiquer des renseignements personnels hors du Québec
Un hébergement en Ontario ou en Europe est déjà hors du Québec. Évaluation écrite et contenu de l'entente.
Mener une mission d'audit interne
Mandat, preuves, constat et clôture. Le rapport se ferme quand la recommandation est mise en œuvre.
Zero Trust : pourquoi l’architecture à confiance zéro devient incontournable au Canada
Le périmètre réseau ne suffit plus. Télétravail, infonuagique et accès tiers obligent à vérifier chaque accès.
Gestion des incidents de sécurité sous la Loi 25 : obligations et bonnes pratiques
Depuis septembre 2023, un incident de confidentialité non déclaré dans les délais expose l'organisation.
ISO 27001 vs SOC 2 : quelle certification choisir pour votre organisation canadienne ?
ISO 27001 et SOC 2 visent des objectifs proches, pour des acheteurs différents. Comment choisir.
Comment réaliser une cartographie de vos actifs informationnels conforme à la Loi 25
La cartographie des actifs sert à démontrer que vous connaissez les renseignements personnels que vous détenez.
DORA : comment les entreprises canadiennes ayant des opérations en Europe doivent s’y préparer
DORA est en vigueur depuis le 17 janvier 2025. Les institutions canadiennes liées à l'Europe sont concernées.
Les 10 indicateurs de risque essentiels pour le tableau de bord de votre RSSI
Dix indicateurs utiles à la décision, plutôt qu'un tableau trop chargé, pour le comité de direction.
NIS2 et secteur public canadien : anticiper les nouvelles exigences de résilience numérique
NIS2 s'applique depuis octobre 2024. Ce que cela change pour un partenaire canadien d'une entité européenne.
Intelligence artificielle et audit interne GRC : opportunités et risques pour les organisations canadiennes
L'IA aide à analyser de grands volumes. Elle ajoute aussi des risques que l'audit interne doit couvrir.
Guide complet Loi 25 : obligations et mise en conformité
Tout ce que vous devez savoir sur la Loi 25 du Québec : obligations, échéanciers et étapes pratiques pour mettre votre organisation en conformité.
Comment réaliser une évaluation des risques pour une PME
Méthode pratique pour identifier, évaluer et traiter les risques de sécurité dans une petite ou moyenne entreprise.
EFVP : guide pratique pour les responsables de PRP
Comment réaliser une Évaluation des facteurs relatifs à la vie privée conforme à la Loi 25, étape par étape.
5 erreurs courantes en audit interne GRC
Les pièges les plus fréquents dans les programmes d'audit interne et comment les éviter pour gagner en efficacité.
Gérer plusieurs référentiels GRC simultanément
Stratégies pour aligner ISO 27001, Loi 25 et PCI-DSS dans un programme GRC unifié sans dupliquer les efforts.
Structurer un projet ISO 27001 en 6 mois
Un plan réaliste pour cadrer votre projet ISO 27001 avec CapGRC : risques, contrôles, SoA et audits internes.
PCI-DSS v4.0 : les nouveautés à connaître
Analyse des changements majeurs de la version 4.0 de PCI-DSS et leur impact sur les organisations canadiennes.
Comprendre DORA : le règlement européen sur la résilience numérique
Guide complet sur le Digital Operational Resilience Act (DORA) : périmètre, obligations et impact sur les institutions financières canadiennes.
Comprendre PIPEDA / LPRPDE : la loi fédérale canadienne
Guide complet sur la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA) au Canada.
Loi 25, Phase 3 : ce qui change en septembre 2024
Analyse des obligations de la troisième phase et plan d'action pour votre organisation.
Comment choisir son premier référentiel GRC
Guide de décision : ISO 27001, SOC 2 ou commencer par la Loi 25 ?
Articles et guides
Test de préjudice sérieux
Quatre questions pour voir si un incident penche vers un avis à la Commission. Tous les incidents vont au registre.
Outil de lecture
Délai de 30 jours
La date limite pour répondre à une demande d'accès, de rectification ou de portabilité.
Outil de lecture
Quelle loi s'applique
Secteur privé, organisme public ou LPRPDE, selon le permis et le lieu de l'activité.
Outil de lecture
Calculateur poids de contrôle
Calculez le poids d’un contrôle CapGRC (type, étendue, actifs protégés, objectifs) avec variables statiques modifiables.
Outil de lecture
Calculateur de retour sur investissement
Estimez les économies de temps et d’argent générées par CapGRC pour votre organisation.
Outil de lecture
Préparer un rapport SOC 2 dans une entreprise canadienne
Périmètre, critères, Type I et Type II. Les acheteurs retiennent en général un Type II, souvent sur 12 mois.
8 min de lecture
BSIF B-13 et B-10 : ce que montre une institution fédérale
B-13 depuis le 1er janvier 2024, B-10 depuis le 1er mai 2024. Une caisse ou un assureur de l'AMF suit un autre régime.
8 min de lecture
AMF et risques TIC : ce que montre une institution québécoise
Ligne directrice de février 2020, à s'approprier d'ici le 27 février 2021. Assureurs, institutions de dépôt et sociétés de fiducie sous l'AMF.
8 min de lecture
NIST CSF 2.0 : les six fonctions, sans deuxième programme
Depuis février 2024, le cadre compte six fonctions, dont Gouverner. Il range les contrôles déjà tenus pour l'ISO 27001 ou le SOC 2.
8 min de lecture
Loi 25 ou PIPEDA : quelle loi s'applique à votre organisation
Au Québec, c'est la loi provinciale. La LPRPDE vise les flux commerciaux entre provinces et hors du Canada.
8 min de lecture
Amendes de la Loi 25 : ce que risque vraiment une organisation
Pour les infractions les plus graves, l'amende peut atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
7 min de lecture
Responsable de la protection des renseignements personnels : rôle et désignation
Sans désignation publiée depuis le 22 septembre 2022, la personne ayant la plus haute autorité est responsable.
7 min de lecture
Gabarit de politique de confidentialité Loi 25
Une politique à compléter : fins, conservation, droits, et technologies qui identifient ou profilent.
8 min de lecture
Gabarit de registre des incidents de confidentialité
Les champs du registre, y compris les incidents qui ne sont pas déclarés à la Commission, conservés au moins cinq ans.
7 min de lecture
Gabarit de clause de sous-traitant Loi 25
Les engagements écrits avant qu'un fournisseur traite des renseignements personnels.
7 min de lecture
Gabarit d'évaluation d'un transfert hors du Québec
L'évaluation écrite avant qu'un renseignement quitte le Québec, y compris vers une autre province.
8 min de lecture
Consentement Loi 25 : formulaires, infolettre et profilage
Le consentement est demandé pour une fin précise. Un renseignement sensible exige un consentement exprès.
8 min de lecture
Quand déclarer un incident à la Commission d'accès à l'information
L'avis vise le risque de préjudice sérieux. Tous les autres incidents vont quand même au registre.
8 min de lecture
Biométrie au Québec : consentement, solution de rechange et déclaration
On ne peut pas exiger une empreinte ou un visage pour confirmer l'identité. Déclaration à la Commission au moins 60 jours avant une banque.
8 min de lecture
Décision automatisée et Loi 25 : ce qu'il faut dire à la personne
Une décision exclusivement automatisée s'accompagne d'une information et d'une révision par un membre du personnel.
7 min de lecture
Loi 25 : municipalité, clinique ou OBNL
La municipalité suit la loi du secteur public. La clinique privée et l'OBNL qui exploite une entreprise suivent la loi du secteur privé.
8 min de lecture
Répondre aux demandes d'accès, de rectification et de portabilité
Délai de 30 jours, vérification d'identité et limites du droit à la portabilité depuis le 22 septembre 2024.
8 min de lecture
Conserver les renseignements personnels : fixer une durée, puis détruire
La Loi 25 n'impose pas un délai unique. Comment écrire une règle par catégorie et documenter la destruction.
7 min de lecture
Ce qu'il faut vérifier chez un fournisseur avant de signer
Classer les fournisseurs, exiger un contrat écrit et revoir les dossiers critiques au lieu de les oublier après l'accueil.
8 min de lecture
Rédiger une politique de confidentialité conforme à la Loi 25
Les sections à écrire, celles à retirer, et où publier le texte pour qu'il corresponde aux traitements réels.
10 min de lecture
Communiquer des renseignements personnels hors du Québec
Un hébergement en Ontario ou en Europe est déjà hors du Québec. Évaluation écrite et contenu de l'entente.
9 min de lecture
Mener une mission d'audit interne
Mandat, preuves, constat et clôture. Le rapport se ferme quand la recommandation est mise en œuvre.
9 min de lecture
Zero Trust : pourquoi l’architecture à confiance zéro devient incontournable au Canada
Le périmètre réseau ne suffit plus. Télétravail, infonuagique et accès tiers obligent à vérifier chaque accès.
9 min de lecture
Gestion des incidents de sécurité sous la Loi 25 : obligations et bonnes pratiques
Depuis septembre 2023, un incident de confidentialité non déclaré dans les délais expose l'organisation.
10 min de lecture
ISO 27001 vs SOC 2 : quelle certification choisir pour votre organisation canadienne ?
ISO 27001 et SOC 2 visent des objectifs proches, pour des acheteurs différents. Comment choisir.
11 min de lecture
Comment réaliser une cartographie de vos actifs informationnels conforme à la Loi 25
La cartographie des actifs sert à démontrer que vous connaissez les renseignements personnels que vous détenez.
8 min de lecture
DORA : comment les entreprises canadiennes ayant des opérations en Europe doivent s’y préparer
DORA est en vigueur depuis le 17 janvier 2025. Les institutions canadiennes liées à l'Europe sont concernées.
10 min de lecture
Les 10 indicateurs de risque essentiels pour le tableau de bord de votre RSSI
Dix indicateurs utiles à la décision, plutôt qu'un tableau trop chargé, pour le comité de direction.
7 min de lecture
NIS2 et secteur public canadien : anticiper les nouvelles exigences de résilience numérique
NIS2 s'applique depuis octobre 2024. Ce que cela change pour un partenaire canadien d'une entité européenne.
9 min de lecture
Intelligence artificielle et audit interne GRC : opportunités et risques pour les organisations canadiennes
L'IA aide à analyser de grands volumes. Elle ajoute aussi des risques que l'audit interne doit couvrir.
11 min de lecture
Guide complet Loi 25 : obligations et mise en conformité
Tout ce que vous devez savoir sur la Loi 25 du Québec : obligations, échéanciers et étapes pratiques pour mettre votre organisation en conformité.
12 min de lecture
Comment réaliser une évaluation des risques pour une PME
Méthode pratique pour identifier, évaluer et traiter les risques de sécurité dans une petite ou moyenne entreprise.
8 min de lecture
EFVP : guide pratique pour les responsables de PRP
Comment réaliser une Évaluation des facteurs relatifs à la vie privée conforme à la Loi 25, étape par étape.
10 min de lecture
5 erreurs courantes en audit interne GRC
Les pièges les plus fréquents dans les programmes d'audit interne et comment les éviter pour gagner en efficacité.
7 min de lecture
Gérer plusieurs référentiels GRC simultanément
Stratégies pour aligner ISO 27001, Loi 25 et PCI-DSS dans un programme GRC unifié sans dupliquer les efforts.
9 min de lecture
Structurer un projet ISO 27001 en 6 mois
Un plan réaliste pour cadrer votre projet ISO 27001 avec CapGRC : risques, contrôles, SoA et audits internes.
11 min de lecture
PCI-DSS v4.0 : les nouveautés à connaître
Analyse des changements majeurs de la version 4.0 de PCI-DSS et leur impact sur les organisations canadiennes.
8 min de lecture
Comprendre DORA : le règlement européen sur la résilience numérique
Guide complet sur le Digital Operational Resilience Act (DORA) : périmètre, obligations et impact sur les institutions financières canadiennes.
14 min de lecture
Comprendre PIPEDA / LPRPDE : la loi fédérale canadienne
Guide complet sur la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA) au Canada.
12 min de lecture
Fiches techniques
Présentation des modules CapGRC. Choisissez la version française ou anglaise, puis indiquez vos coordonnées pour recevoir le lien.
Modèles et gabarits
Indiquez vos coordonnées pour recevoir le lien de téléchargement.
Webinaires
Sessions enregistrées disponibles en tout temps.
Vous voulez aller plus loin ?
Voyez comment CapGRC peut vous aider à structurer votre programme GRC et automatiser votre conformité.