Articles & Analyses GRC
Conseils pratiques, analyses réglementaires et guides experts pour les professionnels GRC canadiens.
Articles récents
NIST CSF 2.0 : les six fonctions, sans deuxième programme
Depuis février 2024, le cadre compte six fonctions, dont Gouverner. Il range les contrôles déjà tenus pour l'ISO 27001 ou le SOC 2.
Préparer un rapport SOC 2 dans une entreprise canadienne
Périmètre, critères, Type I et Type II. Les acheteurs retiennent en général un Type II, souvent sur 12 mois.
BSIF B-13 et B-10 : ce que montre une institution fédérale
B-13 depuis le 1er janvier 2024, B-10 depuis le 1er mai 2024. Une caisse ou un assureur de l'AMF suit un autre régime.
Tous les articles
(31)Biométrie au Québec : consentement, solution de rechange et déclaration
On ne peut pas exiger une empreinte ou un visage pour confirmer l'identité. Déclaration à la Commission au moins 60 jours avant une banque.
Décision automatisée et Loi 25 : ce qu'il faut dire à la personne
Une décision exclusivement automatisée s'accompagne d'une information et d'une révision par un membre du personnel.
Loi 25 : municipalité, clinique ou OBNL
La municipalité suit la loi du secteur public. La clinique privée et l'OBNL qui exploite une entreprise suivent la loi du secteur privé.
Consentement Loi 25 : formulaires, infolettre et profilage
Le consentement est demandé pour une fin précise. Un renseignement sensible exige un consentement exprès.
Quand déclarer un incident à la Commission d'accès à l'information
L'avis vise le risque de préjudice sérieux. Tous les autres incidents vont quand même au registre.
Loi 25 ou PIPEDA : quelle loi s'applique à votre organisation
Au Québec, c'est la loi provinciale. La LPRPDE vise les flux commerciaux entre provinces et hors du Canada.
Amendes de la Loi 25 : ce que risque vraiment une organisation
Pour les infractions les plus graves, l'amende peut atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
Responsable de la protection des renseignements personnels : rôle et désignation
Sans désignation publiée depuis le 22 septembre 2022, la personne ayant la plus haute autorité est responsable.
Répondre aux demandes d'accès, de rectification et de portabilité
Délai de 30 jours, vérification d'identité et limites du droit à la portabilité depuis le 22 septembre 2024.
Conserver les renseignements personnels : fixer une durée, puis détruire
La Loi 25 n'impose pas un délai unique. Comment écrire une règle par catégorie et documenter la destruction.
Ce qu'il faut vérifier chez un fournisseur avant de signer
Classer les fournisseurs, exiger un contrat écrit et revoir les dossiers critiques au lieu de les oublier après l'accueil.
Rédiger une politique de confidentialité conforme à la Loi 25
Les sections à écrire, celles à retirer, et où publier le texte pour qu'il corresponde aux traitements réels.
Communiquer des renseignements personnels hors du Québec
Un hébergement en Ontario ou en Europe est déjà hors du Québec. Évaluation écrite et contenu de l'entente.
Mener une mission d'audit interne
Mandat, preuves, constat et clôture. Le rapport se ferme quand la recommandation est mise en œuvre.
Zero Trust : pourquoi l’architecture à confiance zéro devient incontournable au Canada
Le périmètre réseau ne suffit plus. Télétravail, infonuagique et accès tiers obligent à vérifier chaque accès.
Gestion des incidents de sécurité sous la Loi 25 : obligations et bonnes pratiques
Depuis septembre 2023, un incident de confidentialité non déclaré dans les délais expose l'organisation.
ISO 27001 vs SOC 2 : quelle certification choisir pour votre organisation canadienne ?
ISO 27001 et SOC 2 visent des objectifs proches, pour des acheteurs différents. Comment choisir.
Comment réaliser une cartographie de vos actifs informationnels conforme à la Loi 25
La cartographie des actifs sert à démontrer que vous connaissez les renseignements personnels que vous détenez.
DORA : comment les entreprises canadiennes ayant des opérations en Europe doivent s’y préparer
DORA est en vigueur depuis le 17 janvier 2025. Les institutions canadiennes liées à l'Europe sont concernées.
Les 10 indicateurs de risque essentiels pour le tableau de bord de votre RSSI
Dix indicateurs utiles à la décision, plutôt qu'un tableau trop chargé, pour le comité de direction.
NIS2 et secteur public canadien : anticiper les nouvelles exigences de résilience numérique
NIS2 s'applique depuis octobre 2024. Ce que cela change pour un partenaire canadien d'une entité européenne.
Intelligence artificielle et audit interne GRC : opportunités et risques pour les organisations canadiennes
L'IA aide à analyser de grands volumes. Elle ajoute aussi des risques que l'audit interne doit couvrir.
Guide complet Loi 25 : obligations et mise en conformité
Tout ce que vous devez savoir sur la Loi 25 du Québec : obligations, échéanciers et étapes pratiques pour mettre votre organisation en conformité.
Comment réaliser une évaluation des risques pour une PME
Méthode pratique pour identifier, évaluer et traiter les risques de sécurité dans une petite ou moyenne entreprise.
EFVP : guide pratique pour les responsables de PRP
Comment réaliser une Évaluation des facteurs relatifs à la vie privée conforme à la Loi 25, étape par étape.
5 erreurs courantes en audit interne GRC
Les pièges les plus fréquents dans les programmes d'audit interne et comment les éviter pour gagner en efficacité.
Gérer plusieurs référentiels GRC simultanément
Stratégies pour aligner ISO 27001, Loi 25 et PCI-DSS dans un programme GRC unifié sans dupliquer les efforts.
Structurer un projet de certification ISO 27001 en 6 mois
Un plan réaliste pour cadrer risques, contrôles, SoA et audits internes avec CapGRC.
PCI-DSS v4.0 : les nouveautés à connaître
Analyse des changements majeurs de la version 4.0 de PCI-DSS et leur impact sur les organisations canadiennes.
Comprendre DORA : le règlement européen sur la résilience numérique
Guide complet sur le Digital Operational Resilience Act (DORA) : périmètre, obligations et impact sur les institutions financières canadiennes.
Comprendre PIPEDA / LPRPDE : la loi fédérale canadienne
Guide complet sur la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA) au Canada.
Allez plus loin avec CapGRC
Découvrez tous nos guides, gabarits et webinaires pour structurer votre programme GRC.