Foire aux questions

6–8 semaines pour les 10 phases. Chaque phase produit un livrable PDF de marque, un sommaire pour la direction et une présentation.

Quatre montants publiés, chacun à portée fixe : validation de principe de la phase 1, 4 500 $ CA (phase 1, livrée en 5 à 7 jours ouvrables, garantie de remboursement sous réserve des conditions de la convention de mandat) ; Fondation MEM, 13 500 $ CA (phases 1 à 3, 2 à 3 semaines) ; Architecture de revenus, 27 000 $ CA (phases 1 à 6, 4 à 5 semaines) ; mandat complet, 45 000 $ CA (phases 1 à 10, 6 à 8 semaines). La pratique A et l’accès aux marchés réglementés font l’objet d’une portée et d’une soumission plutôt que d’un prix affiché.

Conseil en management (5 M$–50 M$), SaaS et services de cybersécurité, et SaaS B2B (de l’amorçage à la série B).

La rigueur probante. Chaque affirmation de chaque livrable est sourcée — citations APA 7e édition, données de recherche sectorielle de premier ordre, provenance à la page près.

Chaque statistique de marché, chaque assertion concurrentielle et chaque recommandation stratégique comporte une citation traçable. Données de recherche sectorielle de premier ordre, recherche évaluée par les pairs, sources Web validées. Aucune affirmation non vérifiée.

Les deux. Chaque livrable franchit un contrôle qualité automatisé en 18 vérifications (densité probante, format des citations, structure selon le principe de la pyramide, contrôles anti-hallucination). Après ce contrôle, Stéphane Raby (CMC) lit personnellement chaque livrable du début à la fin et le signe avant sa diffusion. Rien n’est livré sur la seule base de l’automatisation — la révision finale avec intervention humaine est non négociable, car à titre de CMC signataire, Stéphane est professionnellement responsable de chaque livrable qui quitte la firme.

Au minimum. 1–2 heures pour l’intégration, plus des appels de révision de 30 minutes après chaque phase.

Oui. La phase 01 Intelligence de marché est l’option autonome la plus courante — elle fournit le fondement probant de toutes les autres décisions.

Après le mandat initial, l’intelligence continue maintient votre stratégie à jour grâce à des sommaires concurrentiels mensuels et des mises à jour complètes trimestrielles. CA$3,000–CA$5,000/mois.

Tous les mandats sont couverts par une entente de confidentialité mutuelle signée avant l’intégration. Les livrables portent la mention CONFIDENTIEL. Les données, stratégies et renseignements d’affaires du client ne sont jamais partagés entre mandats, utilisés en marketing ni conservés après la clôture du mandat sans autorisation écrite explicite.

PDF de marque (principal), sommaire pour la direction (résumé de 2–4 pages) et présentation (PPTX avec notes de l’orateur).

Tout à fait. Nous intégrons vos documents internes comme intrants. Les recherches existantes sont validées et incorporées.

Stéphane Raby : CMC + CISSP + MBA de Telfer, classé 1er au monde par CEO Magazine en 2023, + ing. Plus de 25 ans en stratégie technologique et en cybersécurité.

Nous offrons une facturation par jalons et des modalités net 15/30. Les contrats annuels d’intelligence continue bénéficient d’un rabais pour paiement anticipé de 2 mois.

Sur paiement complet, vous êtes propriétaire de tous les livrables. Un suivi post-mandat de 30 jours est inclus. L’intelligence continue est offerte pour une surveillance continue.

Réservez un diagnostic stratégique de 30 minutes à sagentix.ca/contact. Aucun engagement requis.

Notre bibliothèque compte 134 profils sectoriels intégrés. Si le vôtre n'en fait pas partie, nous le bâtissons à partir de jeux de données publics primaires — Statistique Canada et les Statistiques relatives à l'industrie canadienne d'ISDE pour le Canada, le recensement économique du U.S. Census Bureau et le Bureau of Labor Statistics pour les États-Unis — indexés par code SCIAN : un secteur absent de la bibliothèque est donc un travail de recherche, et non un obstacle. La couverture est la plus approfondie en technologie B2B, services professionnels, fabrication et secteurs connexes. Dans un cas comme dans l'autre, la validation de principe de la phase 1 nous indique en 5–7 jours si la méthodologie convient à votre marché — et si elle ne convient pas, vous recevez un remboursement complet et conservez le livrable.

Oui. Nous signons des ententes de confidentialité mutuelles dans le cadre normal de chaque diagnostic stratégique. L’entente couvre à la fois vos renseignements confidentiels et la propriété intellectuelle de notre méthodologie. Écrivez à stephane@sagentix.ca et l’entente arrive dans un jour ouvrable.

Chacun de nos quatre paliers de tarification comporte une portée explicite. Si vos besoins s’élargissent en cours de mandat, nous proposons une mise à niveau de palier ou un mandat de suivi; nous ne pratiquons pas de glissement de portée silencieux. Les frais de validation de principe de la phase 1 sont crédités sur tout forfait plus important dans les 30 jours.

Non. Chaque mandat Sagentix est livré sous la marque Sagentix par Stéphane Raby (CMC + CISSP + ing. + MBA) directement. Nous ne sous-traitons pas la livraison et nous ne cédons pas notre méthodologie en marque blanche à d’autres firmes.

La validation de principe de la phase 1 comporte une garantie de remboursement de 14 jours. Si la phase 1 Intelligence de marché ne révèle rien que vous ne saviez déjà, vous recevez un remboursement complet dans les 14 jours et vous conservez le livrable. Cette garantie est unique parmi les firmes-conseils boutique auxquelles nous nous comparons.

Huit champs de service : évaluation et autorisation de sécurité jusqu’à une décision d’autorisation d’exploitation à Protégé B; calibrage d’un processus d’évaluation surchargé; préparation à l’infonuagique Moyen du CCC pour les fournisseurs infonuagiques et SaaS; programmes de gouvernance de l’IA; migration vers la cryptographie postquantique; gouvernance de la sécurité ministérielle et d’entreprise; évaluation de l’architecture organisationnelle selon les six domaines du GC; et cartographie des programmes de conformité canadiens. S’y ajoute le conseil principal intégré, placé au sein d’un programme fédéral par l’entremise d’un entrepreneur principal.

Non. Nous rédigeons les preuves et le dossier de recommandation; l’autorisation est signée par le responsable ministériel imputable, et toute décision de certification appartient à un évaluateur indépendant. Sagentix ne détient aucun agrément d’organisme de certification ni d’évaluateur, et aucun n’est en cours. C’est cette séparation qui donne son poids au travail.

Pas à soi seul. Une autorisation américaine ne s’étend ni aux données canadiennes ni aux centres de données canadiens — l’infonuagique Moyen du CCC est un programme distinct, administré au Canada. Ce qui se transfère, c’est la conception des contrôles, puisque les deux profils descendent du NIST SP 800-53, et souvent les preuves d’essai existantes. Ce qui est éprouvé à neuf, c’est la surcouche canadienne : résidence des données, gestion des clés, filtrage du personnel et chaîne d’approvisionnement. Mesurer cet écart constitue le premier travail.

La feuille de route du CCC (ITSM.40.001) fixe les plans ministériels de migration à partir d’avril 2026, la migration des systèmes hautement prioritaires pour la fin de 2031, et celle des systèmes restants pour la fin de 2035. Le chiffre de « 2030 » souvent cité provient du NIST IR 8547 — le calendrier de retrait des algorithmes du NIST, un instrument distinct. Confondre les deux réduit d’un an la marge que vous croyez avoir.

Non. La pratique offre du conseil en gouvernance, en architecture et en surveillance : le conseiller oriente et assure, tandis que votre personnel ou des fournisseurs spécialisés exécutent. Pour les tests, l’exploitation de la sécurité, la correction pratique, l’évaluation agréée ou les avis juridiques et en contrôle des exportations, nous vous orienterons vers une firme qui le fait bien.

Oui. Stéphane Raby est de langue maternelle française et a donné le programme du Centre canadien pour la cybersécurité dans les deux langues officielles pendant trente-deux mois. Les livrables sont produits dans l’une ou l’autre langue, ou dans les gabarits mêmes de votre ministère.

Trois raisons structurelles, plutôt qu’une affirmation sur la qualité. Une habilitation Secret du gouvernement du Canada est déjà détenue : aucun cycle de filtrage ne consomme le début du mandat. La machinerie fédérale d’autorisation est pratiquée sur des dossiers actifs ce trimestre, plutôt que remémorée. Et le titre de CMC lie le praticien à un conseil de déontologie et à un code exécutoire portant sur l’objectivité, la confidentialité et les conflits d’intérêts — sans aucune division de certification dans la firme qui pourrait finir par assurer ses propres conseils.

Non. Le travail fédéral canadien est là où se trouve la preuve la plus profonde, mais la méthode n’est pas propre au Canada : une certification ISO/IEC 27001, un examen SOC 2, un programme RGPD et une loi caribéenne sur la protection des données sont toutes des portes où une partie indépendante juge des preuves que nous rédigeons. Nous travaillons au Canada, dans les Caraïbes, aux États-Unis et en Europe, en anglais et en français.

Elles consomment essentiellement les mêmes preuves. Le processus d’évaluation du Centre canadien pour la cybersécurité réutilise les attestations internationalement reconnues plutôt que de tout réévaluer, et une soumission à Protégé B attend un rapport SOC 2 de type II, l’ISO/IEC 27001 et l’ISO/IEC 27017, la 27018 pour le volet renseignements personnels. En pratique : un seul ensemble de contrôles harmonisé peut servir plusieurs portes, et chaque certificat supplémentaire devient un écart plutôt qu’un nouveau programme.

Non. Une certification ISO est accordée par un organisme de certification accrédité, et un examen SOC 2 ne peut être réalisé que par un cabinet d’experts-comptables agréé. Nous ne sommes ni l’un ni l’autre, ne détenons aucun agrément et n’en avons aucun en cours. Nous rédigeons le système de gestion et les preuves ; vous nommez ensuite l’organisme ou le cabinet qui les juge.

Non. Sagentix n’est pas un cabinet d’avocats, ne détient aucun permis d’exercice du droit et ne donne ni conseil ni avis juridique. La répartition est simple : un CISSP bâtit l’ensemble de contrôles, l’inventaire des données, la méthode de réponse aux violations et les preuves que l’on présenterait à une autorité ; un avocat tranche si une loi vous vise, la base juridique, les contrats, et tout avis sur la responsabilité. Nous travaillons aux côtés de votre conseiller juridique et le disons lorsqu’une question franchit cette ligne.

Non, et les traiter comme un seul est l’erreur la plus coûteuse possible dans ce marché. La loi jamaïcaine est en vigueur depuis décembre 2023, avec un commissaire et une notification des violations dans les 72 heures ; celle de la Barbade depuis janvier 2022 ; celle des Îles Caïmans selon sa révision de 2021. Les Bahamas ont une loi en vigueur mais très peu appliquée, et la loi de 2011 de Trinité-et-Tobago — l’une des premières et toujours répertoriée partout — n’est pas pleinement en vigueur et n’a aucune autorité. Le séquencement suit le régime opérant, non l’existence d’une loi.

Sagentix Advisors Inc. a été acceptée comme membre de service par le conseil d’administration de la Caribbean Association of Banks en 2026. Il s’agit d’une appartenance, non d’une approbation — le statut de membre de service ne confère aucun droit de vote, et rien n’y exprime une opinion de la CAB sur nos services.

Le PCCCS est le Programme canadien pour la certification en cybersécurité — piloté par SPAC, avec la Défense nationale, le Centre pour la cybersécurité et le Conseil canadien des normes. Sa norme de contrôles est l’ITSP.10.171, l’adaptation canadienne de la famille NIST SP 800-171 ; l’ITSP.10.171 est la norme, le PCCCS est le programme qui certifie à son égard. Le niveau 1 est une autoévaluation de treize contrôles, attestée annuellement dans votre profil de fournisseur AchatsCanada et exigée à l’attribution du contrat plutôt qu’au dépôt de la soumission. Savoir si vous en avez besoin est conditionnel et évalué selon le risque, contrat par contrat — ce n’est pas une exigence générale pour faire affaire en défense avec le Canada, et quiconque prétend le contraire en fait trop.

Aucune date n’est publiée, et nous ne vous en donnerons pas. SPAC indique que les niveaux 2 et 3 sont en cours d’élaboration. Le chiffre du « printemps 2027 » qui circule provient de commentaires de fournisseurs et non d’une page du gouvernement du Canada ; engager des dépenses sur cette base reviendrait à planifier contre un engagement que personne n’a pris. Considérez le niveau 2 comme une capacité à bâtir, non comme une échéance.

En partie. La porte d’évaluation par tierce partie — le niveau 2 par évaluateur accrédité et le niveau 3 — est suspendue depuis juillet 2026 en attente d’un examen de réforme ; seuls les paliers d’autoévaluation peuvent donc être exigés à l’heure actuelle. Ce qui n’a pas été suspendu, c’est l’obligation : la clause DFARS et l’ensemble des 110 exigences du NIST SP 800-171 s’appliquent toujours, sur attestation, avec l’exposition à la False Claims Act derrière celle-ci. Deux détails comptent commercialement : c’est la révision 2 qui est en vigueur, non la révision 3, dont la règle n’est pas publiée ; et un score inscrit au SPRS est un score d’évaluation de base, non une certification. C’est en le décrivant comme une certification que se situe le vrai risque.

Pour le niveau 1, potentiellement — SPAC reconnaît une certification CMMC valide en remplacement de l’autoévaluation de niveau 1, au cas par cas, les deux pays s’appuyant sur les mêmes contrôles techniques. Deux mises en garde. Une autoévaluation assortie d’un score SPRS n’est pas une certification. Et, la voie américaine par tierce partie étant suspendue, une entreprise qui n’en détient pas déjà une ne peut actuellement pas en obtenir : pour la plupart des fournisseurs canadiens, l’autoévaluation canadienne est donc la seule voie ouverte.

Pas du seul fait du stockage, selon les orientations actuelles. La règle a changé : les fournisseurs qui n’examinent, ne possèdent ni ne contrôlent habituellement le contenu de leurs clients sont traités différemment de ceux dont les services exigent d’examiner ou de posséder des données contrôlées — et c’est l’examen qui déclenche l’inscription. L’ancienne formulation catégorique sur le stockage demeure largement citée, mais décrit une règle révisée. La résidence compte aussi : les données de marchandises contrôlées devraient résider sur des serveurs au Canada, et Affaires mondiales Canada doit être consulté lorsque ce n’est pas le cas. Avant toute déclaration écrite de conformité à ce sujet, confirmez le flux de données réel et faites-le approuver par un conseiller juridique canadien en contrôle des exportations.

Non, et ils relèvent de parties différentes de l’État répondant à des questions différentes — l’un porte sur qui peut accéder aux marchandises contrôlées de défense et à leurs données techniques, l’autre sur la maturité cyber de vos propres systèmes. Mais ils peuvent viser la même information : les renseignements précisés que protège le PCCCS peuvent expressément inclure de l’information sur des marchandises contrôlées. Séquencés comme une seule décision, l’essentiel du travail sous-jacent est commun. Menés en deux projets distincts, il est payé deux fois.

Oui — en anglais ou en français, pour les associations professionnelles, les accélérateurs et incubateurs, et les universités. La formation est une forme de livraison des deux mêmes pratiques plutôt qu’une activité distincte : cybersécurité et gouvernance de l’IA, mise en marché, et le travail d’accès au marché fédéral entre les deux. Les séances pour associations durent de deux à deux heures et demie; celles pour accélérateurs sont des séances de travail de quatre-vingt-dix minutes où les fondateurs utilisent leur propre entreprise comme cas.

Non. Ce rôle s’est déroulé d’avril 2023 à novembre 2025 et a pris fin. Sagentix est une firme indépendante, sans affiliation avec le Centre canadien pour la cybersécurité ni avec le Centre de la sécurité des télécommunications, n’offre aucun de leurs cours et ne parle au nom d’aucun des deux. Ce rôle figure à titre de bilan d’enseignement — environ 2 000 apprenants de la fonction publique fédérale répartis sur quatre cours bilingues — et non comme un rôle en cours ou une approbation.

La méthode, jamais le client. Les séances sont bâties à partir de la forme du travail en cours — comment se superpose une pile de gouvernance, comment s’adapte un ensemble de contrôles, comment se cadre un mandat — en laissant de côté le client, ses données et ses constats. La même frontière couvre tout employeur antérieur : aucun matériel de cours, aucun contenu d’évaluation, aucune propriété intellectuelle d’un tiers.

Au moyen d’un arrangement en matière d’approvisionnement fédéral, par l’entremise d’un entrepreneur principal, pour les charges de travail logiciel-service jusqu’à Protégé B — commandé par une justification de fournisseur unique, une demande de soumissions simplifiée auprès des détenteurs de l’arrangement, ou groupé avec un achat logiciel effectué au moyen du même véhicule. Le dimensionnement commence par une courte évaluation préalable à prix fixe qui établit la catégorisation, le profil de contrôle et la complexité. Demandez-nous et nous vous dirons quel véhicule s’applique et qui le détient.