Un entrepreneur fédéral peut-il utiliser un espace de cotravail? LVERS à Montréal

Sommaire

La possibilité pour un entrepreneur fédéral d’utiliser un espace de cotravail à Montréal dépend du contrat, et non de l’immeuble. Aucune source consultée pour ce rapport n’indique que le cotravail est catégoriquement permis ou interdit. Les demandes d’achat comportant une exigence de sécurité doivent être accompagnées d’une Liste de vérification des exigences relatives à la sécurité (LVERS) ^[1], et les organisations qui doivent accéder à des renseignements gouvernementaux de nature délicate doivent être inscrites au Programme de sécurité des contrats (PSC) de Services publics et Approvisionnement Canada (SPAC) ^[2]. Ce régime est fédéral : une adresse au Québec n’y change donc rien. La LVERS, les clauses de sécurité et l’énoncé des travaux déterminent les approbations que doit permettre d’obtenir un espace de travail.

Quatre approbations se confondent facilement. Le filtrage de sécurité du personnel vise les personnes ^[3]. Le filtrage de sécurité de l’organisation, soit une vérification d’organisation désignée (VOD) ou une attestation de sécurité d’installation (ASI), vise l’entreprise et lui permet uniquement de faire effectuer le filtrage de sécurité de ses employés ^[4]. L’autorisation de détenir des renseignements (DSC) vise un emplacement et un contrat précis ^[5] et est nécessaire lorsque le contrat exige l’entreposage de renseignements et de biens gouvernementaux de nature délicate dans un lieu de travail ^[6]. L’approbation des technologies de l’information (TI) est une approbation écrite distincte du PSC, requise avant tout accès électronique à des renseignements protégés ^[7]. Une adresse d’affaires, une pièce verrouillable, un réseau Wi-Fi privé ou une affirmation de sécurité du fournisseur ne prouve à soi seul l’obtention d’aucune de ces approbations.

Les caractéristiques physiques comptent parce que le PSC inspecte les lieux réels. L’exigence minimale pour l’entreposage de documents papier Protégé B est un classeur verrouillé dans une zone de travail ^[6]; l’accès à cette zone est limité au personnel qui y travaille et qui a fait l’objet du filtrage de sécurité approprié, ainsi qu’aux visiteurs accompagnés ^[8]; les corridors publics et les halls d’ascenseurs des immeubles à occupants multiples constituent une zone publique ^[9]. L’inspection est gratuite, mais l’organisation paie l’équipement ou les travaux de construction ^[6]. SPAC publie des délais estimatifs pour le filtrage de sécurité des organisations ^[10]; ce rapport n’estime pas la durée d’une inspection des lieux.

À Montréal, les prix publiés par les fournisseurs en novembre 2026 comprennent le cotravail chez Regus à partir de 349 $ par personne par mois, avec une durée minimale applicable ^[11], et un bureau pour deux personnes chez WeWork à partir de 740 $ CA par mois, sous réserve de la durée d’engagement, des taxes et des frais ^[12]. Aucune des pages de fournisseurs consultées ne revendique une autorisation de sécurité du gouvernement canadien. Le résultat pratique est un dossier de preuves à soumettre à l’autorité de sécurité : clauses contractuelles, plan d’étage, droits d’accès, accès des visiteurs et du personnel d’entretien, entreposage, conception des TI et réponses écrites du fournisseur, puis une question écrite au PSC avant d’engager des dépenses de sécurité ou de signer un bail de longue durée. La sous-traitance ne supprime pas ces obligations, puisque la politique fédérale exige d’étendre les exigences de sécurité à toute autre entité participant à l’exécution du contrat ^[13].

Introduction et contexte

Les travailleurs autonomes montréalais, les cabinets de services-conseils en TI et les équipes de services comptant de deux à douze personnes soumissionnent de plus en plus à des contrats fédéraux, puis se posent une question pratique : le poste de travail ou le bureau privé que loue l’équipe peut-il répondre aux exigences du contrat? Deux erreurs reviennent souvent. La première consiste à considérer une autorisation personnelle comme si elle approuvait les locaux. La seconde consiste à considérer un bureau d’apparence sécuritaire comme s’il bénéficiait d’une approbation. Les directives fédérales distinguent ces notions, et cette distinction guide le choix de l’espace de travail.

Ce rapport explique comment choisir un espace de travail; ce n’est pas un guide pour décrocher des contrats gouvernementaux. Il prend le contrat comme point de départ. Les ministères doivent consigner les exigences de sécurité des contrats avec les fournisseurs dans la LVERS ou un document équivalent ^[13], puis les clauses de sécurité sont intégrées au contrat. Le Manuel de la sécurité des contrats, dont l’édition actuelle est entrée en vigueur le 13 août 2020 ^[2], constitue le cadre général, et les ensembles de clauses types exigent le respect de sa dernière édition. Les dates des pages citées dans ce rapport sont celles qui figurent sur chaque source et ont été vérifiées en novembre 2026.

La portée du rapport détermine le poids que le lecteur devrait accorder à ce qui suit. Premièrement, les pages officielles consultées ne mentionnent ni le cotravail ni les bureaux partagés : toute affirmation propre au cotravail présentée ici est donc une déduction tirée des règles générales et est désignée comme telle. Deuxièmement, rien ici ne remplace une réponse écrite du PSC, et un spécialiste de l’approvisionnement ou de la sécurité devrait examiner toute grille de décision avant qu’on s’y fie. Troisièmement, l’éditeur de ce rapport, 2727coworking.com, est un fournisseur montréalais de postes de travail, de bureaux privés, de salles de réunion, de bureaux virtuels et d’adresses d’affaires; il constitue donc une option comparable dans cette catégorie. Ce rapport ne prétend pas que cet éditeur, ou tout autre fournisseur, détient une approbation du PSC, et aucune page de l’éditeur n’est utilisée comme preuve.

Le PSC est l’interlocuteur à consulter. Son centre de service à la clientèle offre des services en français et en anglais, du lundi au vendredi ^[14], et publie une adresse courriel pour les questions. SPAC fournit du leadership, des conseils et des directives en matière de sécurité des contrats en vertu de la Politique sur la sécurité du gouvernement ^[15]. Les sections suivantes présentent les premières questions à poser, le vocabulaire, un tableau de correspondance entre les approbations et les preuves, des grilles de scénarios, une liste de vérification des locaux, les conditions à remplir en TI, une feuille de calcul des coûts et une fiche de décision.

La LVERS et le contrat : quatre questions à poser avant de visiter des locaux

Avant de comparer les locaux, lisez la LVERS, les clauses de sécurité et l’énoncé des travaux, puis répondez à quatre questions. Chacune correspond à une approbation et à une personne qui peut la confirmer.

• Où les renseignements protégés seront-ils reçus, entreposés ou traités? Les ensembles de clauses types distinguent le fournisseur qui reçoit et entrepose des renseignements protégés sur son site ou dans ses locaux de celui qui y accède uniquement ailleurs. Un exemple de demande de soumissions fédérale indique que l’entrepreneur ne doit pas utiliser ses installations pour traiter, produire ou entreposer des renseignements protégés avant d’avoir obtenu l’approbation écrite du PSC ^[7].
• Quelles personnes ont besoin de quel niveau de filtrage, et le personnel n’ayant pas fait l’objet d’un filtrage peut-il travailler sous escorte? La LVERS consigne la réponse, et les membres du personnel n’ayant pas fait l’objet d’un filtrage doivent être accompagnés d’une personne détenant l’autorisation de sécurité du niveau requis ^[16].
• L’entité juridique a-t-elle fait l’objet du filtrage de sécurité du niveau approprié? Le PSC procède au filtrage des organisations qui participent activement à un processus d’approvisionnement ^[17], et les autorités contractantes doivent confirmer et documenter le respect des exigences de sécurité avant d’attribuer un contrat ^[13].
• Un système TI quelconque sera-t-il en contact avec des renseignements protégés? Si oui, l’approbation écrite du PSC doit précéder tout accès électronique ^[18], et les lieux doivent d’abord satisfaire aux exigences physiques ^[19].

Poser ces questions d’entrée de jeu évite de signer un bail pour découvrir ensuite que le contrat exigeait quelque chose que les locaux ne peuvent offrir. Les négociations précontractuelles faisant intervenir des renseignements protégés ou classifiés ne peuvent pas non plus commencer avant que l’organisation ait fait l’objet d’un filtrage par le PSC, à moins que l’autorité contractante n’en dispose autrement.

Définitions et classification : les quatre approbations

Glossaire des termes anglais et français

Les termes anglais reprennent le libellé de SPAC. Les équivalents français proviennent du manuel officiel en français lorsqu’il les emploie; dans le cas contraire, c’est indiqué.

• Contract Security Program (CSP), en français Programme de sécurité des contrats (PSC).
• Designated organization screening (DOS) et facility security clearance (FSC), en français vérification d'organisation désignée et attestation de sécurité d'installation ^[20].
• Document safeguarding capability (DSC) : le manuel français emploie autorisation de détenir des renseignements ^[20]. L’expression littérale « capacité de protection des documents » n’a pas été trouvée sur la page du manuel français consultée pour ce rapport; elle devrait donc être considérée comme une expression de recherche plutôt que comme le terme officiel.
• Security Requirements Check List (SRCL), en français liste de vérification des exigences relatives à la sécurité.
• Agent de sécurité d’entreprise (ASE) : la personne-ressource officielle de l’organisation auprès du PSC pour les questions de sécurité.

Ce que couvre chaque approbation

Le filtrage de sécurité du personnel vise à déterminer si on peut confier à une personne des renseignements, des biens ou des lieux de travail protégés ou classifiés ^[13]. Les ministères doivent procéder au filtrage de sécurité des personnes qui ont besoin d’accéder à des renseignements, à des biens ou à des lieux de nature délicate pour effectuer leur travail ^[13]. Une personne ne peut pas entreprendre elle-même son propre filtrage ^[21]; l’ASE en fait la demande et doit justifier chaque autorisation de sécurité du personnel ^[22].

Le filtrage de sécurité de l’organisation vise à déterminer si l’entreprise satisfait aux exigences de sécurité du contrat. Une VOD est requise pour accéder à des renseignements Protégé A ou B ^[7]. La taille ne donne droit à aucune exemption : un cabinet de services-conseils d’une seule personne doit faire l’objet d’un filtrage au même titre qu’une grande société ^[23]. Le PSC procède généralement au filtrage des organisations qui participent activement à un processus d’approvisionnement ^[17]. Les autorités contractantes peuvent permettre aux offrants d’obtenir l’autorisation requise au plus tard à la date d’attribution du contrat ^[24].

L’autorisation de détenir des renseignements (DSC) vise à déterminer si un emplacement précis peut conserver du matériel protégé ou classifié. Le manuel indique qu’elle permet à une organisation de consulter, de détenir et d’entreposer de tels renseignements à son emplacement ^[4], et un commentaire d’un cabinet d’avocats la décrit comme propre à un emplacement et requise pour les organisations qui manipulent des renseignements ou des biens gouvernementaux dans leurs installations ^[5].

L’approbation des TI vise à déterminer si les systèmes de l’organisation peuvent traiter ces renseignements par voie électronique. Les exigences sont propres à chaque contrat, et l’organisation doit d’abord détenir une VOD ou une ASI valide ainsi qu’une DSC ^[7].

Tableau de correspondance des approbations

Le tableau 1 ci-dessous relie chaque approbation à son élément déclencheur, à l’autorité compétente, aux preuves et à la question qui reste habituellement en suspens au moment de choisir un espace de travail. La dernière colonne propose des questions à poser au PSC; elle ne présente pas de constat.

Ce tableau montre que trois des quatre approbations sont rattachées aux personnes ou à l’entité juridique, et que seule la DSC est physiquement liée aux locaux. L’approbation des TI est elle aussi propre au contrat, mais elle dépend de l’obtention préalable de la DSC; une réponse insuffisante concernant les locaux bloque donc aussi la réponse concernant les TI.

Examiner chaque approbation dans le contexte d’un espace de travail partagé

Le filtrage de sécurité de l’organisation et l’entité juridique

Le statut d’un fournisseur d’espaces de cotravail ne se transfère pas à ses membres. Un commentaire d’un cabinet d’avocats résumant le manuel indique que les autorisations de sécurité ne peuvent être étendues, transférées ou cédées d’une organisation à une autre ^[5]. Une filiale est une entité juridique distincte qui doit obtenir sa propre VOD ou ASI. Pour une petite équipe, l’entité contractante nommée dans la soumission doit être celle qui a fait l’objet du filtrage, quels que soient les locaux qu’elle occupe.

L’admissibilité touche aussi l’adresse. Les organisations doivent être constituées ou incorporées au Canada, y être physiquement établies et y être enregistrées pour faire des affaires; le manuel indique qu’une case postale ne sera pas reconnue comme adresse d’une organisation ^[4]. Ces règles ne précisent pas si une adresse de bureau virtuel avec du personnel sur place est acceptable; c’est donc une question à poser par écrit au PSC plutôt qu’une hypothèse à tenir pour acquise.

L’approbation du lieu de travail (DSC) et ce que l’inspecteur examine

Un portail fédéral destiné aux acheteurs indique que le PSC veille à ce que les inspections requises soient effectuées et renouvelées régulièrement dans les installations des fournisseurs ^[25]. Dans le cadre des demandes de soumissions concurrentielles, l’inspection est réalisée pendant l’évaluation des soumissions pour tous les soumissionnaires confirmés ^[6], et un commentaire signalait que les organisations doivent mettre en œuvre toutes les exigences relatives à la DSC avant l’attribution du contrat ^[19]. L’agent régional demande un plan d’étage détaillé pour effectuer l’inspection ^[6], et les organisations doivent mettre en œuvre les recommandations du PSC pour obtenir la DSC.

La politique fédérale prévoit que les ministères vérifient les mesures de sécurité physique dans les installations servant à entreposer ou à produire des renseignements ou des biens de nature délicate ^[13], et les clients doivent vérifier que l’entrepreneur et son personnel conservent des statuts de sécurité valides pendant toute la durée du contrat ^[27].

Deux points sont déterminants pour les espaces partagés. D’abord, le modèle des zones : les directives de la GRC définissent cinq zones, soit la zone publique, la zone d’accueil, la zone de travail, la zone de sécurité et la zone de haute sécurité ^[9], la zone publique étant un secteur auquel le public a librement accès ^[8]. Les corridors publics et les halls d’ascenseurs des immeubles à occupants multiples sont des exemples de zone publique ^[9], et le manuel indique que les zones publiques et les zones d’accueil ne sont pas considérées comme sûres pour la protection des renseignements protégés ou classifiés ^[4].

Ensuite, l’accès à la zone de travail est limité au personnel qui y travaille et qui a fait l’objet du filtrage de sécurité approprié, ainsi qu’aux visiteurs accompagnés ^[8]; elle doit être délimitée par un périmètre reconnaissable et faire l’objet d’une surveillance périodique ^[9]. Un étage de cotravail partagé avec des membres d’autres entreprises qui n’ont pas fait l’objet d’un filtrage cadre difficilement avec cette description, à moins que le secteur inspecté soit un espace privé pouvant être séparé et dont l’accès est contrôlé. Il s’agit d’une déduction; la décision revient à l’inspecteur.

Le personnel de nettoyage et d’entretien soulève une question récurrente. SPAC indique que les employés, les entrepreneurs et les sous-traitants, comme le personnel de nettoyage, doivent détenir l’autorisation appropriée ou être accompagnés en tout temps lorsqu’ils entrent dans les zones de sécurité ^[6]. Les directives de la GRC sur les espaces de travail gouvernementaux partagés prévoient également que les tiers et les entrepreneurs qui travaillent dans l’espace privé d’un utilisateur soient accompagnés ^[28]. Les directives de la GRC en matière de sécurité physique ajoutent que, lorsque le nettoyage et l’entretien ont lieu pendant les heures d’accès limité, le gardien des lieux devrait être l’autorité contractante ^[9]. Dans un espace de travail géré, le fournisseur contrôle habituellement le nettoyage et l’entretien, d’où la demande de réponses écrites dans la liste de vérification des locaux.

Niveaux d’entreposage

Pour le niveau Protégé B, les directives de la GRC prévoient un classeur ou un tiroir de bureau verrouillé lorsque le matériel n’est pas utilisé ^[29], dans une zone de travail au minimum ^[29].

Pour le niveau Protégé C et les niveaux supérieurs, il faut des contenants de sécurité approuvés par la GRC dans une zone de sécurité ^[29]. Les contenants de sécurité comprennent les armoires, les mallettes, les boîtes ou les sacs approuvés par la GRC ^[29], et le matériel ne devrait pas être rangé dans le même contenant que des objets de valeur comme de l’argent comptant ^[29].

Les renseignements Protégé B sont ceux dont la divulgation pourrait vraisemblablement causer un préjudice grave à des intérêts autres que l’intérêt national ^[30].

Les consignes de sécurité et le rôle de l’ASE

Les organisations détenant une DSC doivent avoir des consignes de sécurité. On peut en déduire que la responsabilité incombe au locataire plutôt qu’au fournisseur, ce qui explique en grande partie pourquoi les formulations promotionnelles d’un fournisseur ne peuvent remplacer le dossier d’inspection du locataire. Les clients, pour leur part, doivent confirmer que toute personne accédant aux lieux de travail détient l’autorisation de sécurité appropriée ^[27].

Le travail chez le client

Lorsque le travail s’effectue dans des locaux gouvernementaux ou chez un client, les propres locaux de l’entrepreneur peuvent ne pas nécessiter de DSC. Les personnes qui doivent accéder à des lieux de nature délicate dans l’exercice de leurs fonctions doivent faire l’objet d’un filtrage de sécurité ^[13]. Le travail chez le client ajoute aussi une responsabilité à l’ASE : coordonner avec le représentant de la sécurité du client les séances d’information destinées aux employés qui travaillent dans ses locaux.

Grille des tâches selon le lieu

Le tableau 2 ci-dessous transpose quatre tâches dans différents modèles d’espaces de travail. Chaque cellule est conditionnelle à la LVERS du contrat et à l’approbation du PSC; aucune ne constitue un constat selon lequel un type d’espace de travail est permis ou interdit.

La grille fait ressortir une tendance récurrente. Lorsque le contrat n’exige aucun matériel de nature délicate chez le fournisseur, le choix de l’espace de travail peut se limiter aux critères commerciaux habituels. Lorsque l’entreposage ou le traitement électronique est requis, il faut une approbation pour chaque emplacement et chaque contrat, et l’abonnement le moins cher n’est pas nécessairement la solution la moins coûteuse.

Liste de vérification des preuves sur les locaux et questions à poser à l’inspecteur

Liste de vérification des preuves sur les locaux

Le travail de nature délicate ne devrait pas commencer avant que le PSC confirme par écrit l’approbation requise ^[4]. La liste ci-dessous sert à constituer le dossier de preuves. Chaque élément devrait avoir un responsable et une réponse écrite, car une assurance verbale donnée à la réception n’est pas une preuve sur laquelle le PSC peut s’appuyer.

• Plan d’étage : un plan détaillé montrant les pièces, les portes et les zones; l’agent régional en demande un avant l’inspection.
• Droits d’accès : qui détient les clés, les cartes d’accès ou un accès passe-partout. Les directives de la GRC sur les espaces partagés précisent que le contrôle d’accès est habituellement géré par le fournisseur de l’espace de travail ^[28] et font du filtrage de toutes les personnes à qui l’accès est accordé une responsabilité partagée du fournisseur et de l’utilisateur ^[28].
• Circulation dans les aires communes : le trajet de la rue jusqu’au bureau privé passe-t-il par des zones publiques ou d’accueil ^[8], et l’accès aux locaux du locataire depuis les halls d’ascenseurs est-il contrôlé ^[9]?
• Visiteurs : comment le fournisseur consigne-t-il les visites et accompagne-t-il les visiteurs? Les directives sur les espaces partagés prévoient que les visiteurs fassent l’objet d’un contrôle préalable et soient accompagnés en tout temps dans les zones de sécurité ^[28] et que les registres des visiteurs soient conservés en lieu sûr pendant une période définie ^[28]; lorsqu’il n’est pas possible d’accompagner les visiteurs, un laissez-passer temporaire doit être remis à tous les visiteurs dans les installations gouvernementales ^[9].
• Accès du personnel de nettoyage et d’entretien : horaire, contrôle des clés et possibilité d’accompagner le personnel ou de lui faire obtenir une autorisation de sécurité ^[28].
• Entreposage contrôlé : où un classeur approuvé serait placé, à qui il appartiendrait et si le bail permet son installation ^[29].
• Quincaillerie de porte et matériel d’alarme : quelles modifications le locataire peut apporter; le PSC fournit des directives sur les contrôles d’accès requis, et les espaces privés devraient être verrouillés chaque fois que l’utilisateur les quitte ^[28].
• Accès à la suite d’une personne autorisée et politiques d’entrée souples : les directives sur les espaces partagés recommandent des barrières de contrôle d’accès qui empêchent une personne d’entrer en suivant une personne autorisée ^[28] et reconnaissent que certains espaces partagés ont délibérément des politiques d’entrée souples ^[28].
• Personne-ressource en cas d’incident : une personne désignée chez le fournisseur pour signaler une perte ou un accès inexpliqué à l’ASE du locataire.
• Avis de changement : une clause du bail exigeant un préavis pour les déménagements, les rénovations ou les modifications du contrôle des portes, puisque l’ASE doit informer le PSC avant tout déménagement ou toute nouvelle construction.

De leur côté, les locataires gouvernementaux doivent établir des ententes documentées, comme des baux ou des ententes d’occupation, qui énoncent les exigences de sécurité ^[13]; un entrepreneur locataire peut demander des conditions écrites équivalentes. Les directives de la GRC sur les lieux de travail partagés du gouvernement du Canada fournissent un vocabulaire utile, même si elles ne constituent pas une norme applicable aux entrepreneurs. Elles indiquent qu’un fournisseur d’espaces doit offrir les exigences minimales de sécurité en fonction des zones requises ^[28], que la plupart des espaces partagés seront considérés comme des environnements de zone de travail ^[28], et que le travail n’est permis que jusqu’au niveau de catégorisation pour lequel l’espace a été aménagé ^[28]. Elles sont présentées comme un guide pour les lieux de travail partagés du gouvernement du Canada ^[28]; il ne faut donc pas les présenter à un fournisseur comme une exigence applicable aux entrepreneurs.

Questions à poser à l’inspecteur ou au PSC avant de payer des modifications

• La LVERS de ce contrat exige-t-elle l’entreposage chez le fournisseur, ou seulement l’accès? Les contrats peuvent comporter des exigences de sécurité même lorsque les documents contractuels eux-mêmes ne sont pas désignés comme protégés ^[25].
• À quelle zone le bureau privé proposé correspond-il, et quelles aires contrôlées par le fournisseur se trouvent à l’extérieur de cette zone? Les locataires déterminent les zones appropriées à l’intérieur de leurs propres locaux ^[9], tandis que, dans les installations à locataires multiples, un comité de sécurité coordonne les exigences de contrôle d’accès du gardien des lieux et des locataires ^[9].
• Le PSC accepte-t-il un espace dont le locataire ne contrôle pas l’accès à l’échelle de l’immeuble, et quelles mesures compensatoires exigerait-il?
• Qui paie l’équipement et qui en est propriétaire? SPAC indique que l’organisation paie l’équipement ou les travaux de construction nécessaires à la protection des renseignements.
• Les visites annoncées et non annoncées des inspecteurs sont-elles compatibles avec les règles d’accès du fournisseur? Cet accès est une condition normale d’un contrat comportant des exigences de sécurité.
• Le PSC voit-il un problème à utiliser une adresse de bureau virtuel comme adresse enregistrée?

Le manuel conseille également aux organisations de consulter le PSC dès les premières étapes de la construction, de l’achat, de la location ou de la rénovation d’installations ^[4]. Cette phrase est la formulation officielle qui se rapproche le plus d’une règle de sélection d’un espace de travail, et elle invite à poser les questions avant de signer.

Conditions d’approbation des TI et du télétravail

Autorisation des TI

SPAC indique que la sécurité des TI est requise pour les organisations qui accèdent à des renseignements protégés ou classifiés par voie électronique, ou qui les entreposent, les enregistrent, les traitent, les transmettent, les consultent ou en font des copies de sauvegarde; l’approbation écrite du PSC doit précéder tout accès électronique ^[7]. Un exemple de clause fédérale interdit l’utilisation des propres systèmes TI de l’entrepreneur pour traiter électroniquement des renseignements protégés avant l’approbation écrite du PSC ^[7]. L’inspection des TI suit l’attribution du contrat et la satisfaction des exigences physiques ^[19]. L’ASE ou l’ASE suppléant remplit une nouvelle liste de vérification pour chaque contrat; les approbations sont propres au contrat et valides pour sa durée.

Un RPV ou un ordinateur portable fourni par le client ne règle donc pas automatiquement les exigences applicables aux lieux. Les contrôles de base du Centre canadien pour la cybersécurité recommandent une connexion RPV avec authentification à deux facteurs pour l’accès à distance ^[26], indiquent que les organisations ne devraient jamais connecter des réseaux Wi-Fi publics à leurs réseaux d’entreprise ^[26], conseillent d’éviter autant que possible le Wi-Fi public pour les besoins professionnels ^[32], et recommandent l’installation automatique des correctifs ^[26] ainsi que le chiffrement des copies de sauvegarde ^[26]. Ce sont des recommandations de base pour les petites et moyennes organisations ^[26], et elles ne remplacent pas l’approbation du PSC. Le Centre canadien pour la cybersécurité conseille également de tenir compte de la sécurité physique dans un lieu public ou partagé ^[32], et les directives sur les espaces partagés destinées aux locataires gouvernementaux recommandent des réseaux Wi-Fi distincts pour les visiteurs et les utilisateurs ^[28].

Les services infonuagiques nécessitent une autre démarche. Le PSC n’évalue ni n’approuve les solutions infonuagiques ^[18], et le programme d’évaluation du Centre canadien pour la cybersécurité définit un profil de base Cloud Medium pour les services traitant des renseignements jusqu’au niveau Protégé B ^[33]. Les outils infonuagiques choisis par une petite équipe devraient donc être abordés rapidement avec le PSC.

Formulations de l’époque de la COVID à vérifier

La page sur les TI comporte toujours une note indiquant que les inspections relatives à la DSC et aux TI se font actuellement à distance ^[18] et qu’une organisation peut faire l’objet d’une inspection sur place pour valider les exigences de sécurité ^[18]. Cette note figure encore sur une page datée du 20 mars 2025; il convient donc de confirmer la pratique actuelle auprès du PSC plutôt que de la présumer.

Télétravail et locaux supplémentaires

Les passages du manuel consultés n’emploient pas les mots télétravail, domicile ou cotravail; la règle la plus proche est que tout emplacement soumis à une exigence de protection des documents doit être évalué et approuvé avant que le travail y commence. Un bulletin de cabinet d’avocats de 2020 indique que l’inscription d’un entrepreneur au PSC et ses consignes de sécurité d’entreprise précisent si le travail à domicile est permis ^[31], que le télétravail peut être permis si les exigences de sécurité peuvent toujours être respectées ^[31], et que la décision revient au responsable technique du client ^[31]; il s’agit d’un commentaire secondaire daté. Les directives de la GRC permettent de traiter et d’entreposer des quantités limitées de matériel Protégé A, B et Confidentiel dans des lieux de travail à distance, les ministères étant chargés de gérer le risque ^[34], et indiquent que le matériel ne devrait jamais être conservé dans des résidences personnelles ou d’autres lieux d’entreposage non autorisés ^[29]. Ces documents s’adressent aux employés du gouvernement, et non aux entrepreneurs utilisant des postes de cotravail.

Transmission des exigences aux sous-traitants

Un travailleur autonome qui agit comme sous-traitant s’inscrit dans la chaîne d’approbation de l’entrepreneur principal. La politique fédérale exige que les contrats étendent les exigences de sécurité applicables à toute autre entité qui participe à leur exécution ^[13]. L’entrepreneur principal doit obtenir l’approbation du PSC avant d’attribuer un contrat de sous-traitance comportant des exigences de sécurité ^[35], un exemple de demande de soumissions interdit l’attribution de tels contrats sans l’autorisation écrite préalable du PSC ^[7], et une approbation est nécessaire à chaque niveau successif.

Dans l’option la plus simple, les renseignements protégés ou classifiés ne peuvent être reçus ni entreposés dans les locaux du sous-traitant ^[4]; un poste de cotravail n’accueillerait donc pas la partie de ce travail qui est de nature délicate.

Dans certaines situations, évaluées au cas par cas, les entrepreneurs principaux peuvent détenir les résultats du filtrage de sécurité du personnel des sous-traitants ^[17], et un commentaire précise que l’entrepreneur principal demeure responsable du respect des exigences par les sous-traitants ^[5].

Budget, délais et fiche de décision

Feuille de calcul du budget

Le coût d’un emplacement conforme correspond au prix de l’abonnement auquel s’ajoutent les modifications de sécurité documentées, les TI approuvées, l’entreposage et tout chevauchement entre l’ancien et le nouvel espace. La feuille de calcul comporte volontairement des champs vides : les montants doivent provenir de soumissions écrites précisant la devise, le traitement des taxes et la date de la soumission.

• Soumission pour l’abonnement ou le bail : $____ par mois, devise ____, taxes incluses ou exclues ____, date de la soumission ____, durée ____ mois.
• Modifications de sécurité documentées : $____ (quincaillerie de porte, contrôle d’accès, alarme, cloisons) selon les recommandations du PSC, avec le consentement écrit du fournisseur ____.
• Entreposage : $____ pour des classeurs ou des contenants approuvés; l’agent régional aide à commander les classeurs approuvés par la GRC.
• Travail d’approbation des TI : $____ pour la conception du réseau, les mesures de contrôle des terminaux et le temps de consultation; le PSC ne facture pas de frais pour le traitement des demandes de filtrage de sécurité du personnel.
• Coût du chevauchement : $____ pour les mois où deux emplacements sont payés en attendant l’approbation.
• Coût total du scénario : la somme des éléments ci-dessus, comparée à la valeur du contrat ____.

SPAC indique que les organisations ne devraient pas signer de contrat avant d’en comprendre les répercussions et le coût potentiel; la même logique s’applique à un bail. L’inspection est gratuite, mais les frais d’équipement et de construction sont à la charge de l’organisation.

Délais

Les chiffres publiés par SPAC concernent le filtrage de sécurité, et non l’inspection des lieux. SPAC indique que la durée du filtrage des organisations dépend de nombreux facteurs et que les délais de traitement des demandes concernant le personnel commencent lorsque le PSC reçoit une demande dûment remplie. Les conseils d’une société d’État destinés aux exportateurs rappellent que le traitement d’une demande dûment remplie prend de 7 à 120 jours ouvrables ^[36]. Un avis d’appel d’offres fédéral rappelle aux soumissionnaires d’obtenir rapidement l’autorisation de sécurité requise ^[37]. Comme aucune source consultée ne publie de durée pour l’inspection des lieux, la feuille de calcul laisse un champ vide à ce sujet et prévoit une règle de décision : ne prendre aucun engagement de location non résiliable avant d’avoir reçu la réponse écrite du PSC.

Fiche de décision et recours au PSC

Conservez une fiche de décision datée comportant six champs : numéro du contrat et de la LVERS; approbations requises; preuves réunies sur les locaux; réponses écrites du fournisseur; question envoyée au PSC et réponse reçue; décision et date du prochain examen. Consultez le PSC lorsqu’un élément de preuve manque ou que la réponse dépend du jugement de l’inspecteur. Les organisations doivent informer le PSC de tout changement après le filtrage; la fiche devrait donc aussi consigner les changements ultérieurs, comme de nouveaux lieux de travail, un changement de propriétaire ou un déménagement.

Comparaison des fournisseurs et chiffres de référence

Comparaison des fournisseurs

Le tableau 3 ci-dessous compare entre eux les fournisseurs montréalais dont les propres pages ont été consultées. Les lignes consacrées aux fournisseurs présentent leurs affirmations, avec la date de la page lorsqu’elle y figure; elles ne constituent ni des recommandations ni des preuves d’une quelconque approbation de sécurité.

Le principal constat est que le vocabulaire de sécurité publié par les fournisseurs (cartes d’accès, Wi-Fi sécurisé, protocoles renforcés) est général, tandis que le PSC évalue un plan d’étage, des zones et le contrôle d’accès. Les conditions des fournisseurs varient selon le produit et la page; un acheteur devrait donc confirmer par écrit la durée minimale applicable à tout prix proposé. Regus indique également qu’une adresse Regus peut souvent servir de lieu d’établissement officiel enregistré d’une entreprise ^[46], une affirmation du fournisseur qu’il convient de vérifier à la lumière des règles officielles sur les adresses présentées ci-dessous. Les offres de bureaux virtuels comprennent généralement une adresse pour les documents d’affaires et le courrier ^[39], et Spaces précise que la réexpédition et la numérisation du courrier peuvent entraîner des frais supplémentaires ^[47].

Périodes de validité, délais de filtrage et frais

Le Manuel de la sécurité des contrats indique qu’une VOD est valide pour une période maximale de 2 ans et une ASI pour une période maximale de 1 an, si l’organisation demeure conforme et qu’aucun changement ne survient ^[4]. La Directive sur le filtrage de sécurité, entrée en vigueur le 6 janvier 2025 ^[48], fixe à 5 ans la validité de l’autorisation Très secret ^[48]. Les délais estimatifs de SPAC pour le filtrage des organisations sont d’au plus 4 mois pour une VOD et de 6 mois ou plus pour une ASI, et les mesures de protection supplémentaires les prolongent ^[10]; une page de SPAC datée du 21 août 2026 indique une moyenne actuelle de 50 jours ouvrables pour les demandes simples de VOD, par rapport à une cible de 30 ^[49]. Un commentaire sur les modifications apportées au programme en 2021 indiquait que les organisations auraient jusqu’à la date d’attribution du contrat pour obtenir les autorisations requises ^[22]. Tous ces chiffres concernent les organisations et le personnel; aucune source consultée ne publie de durée pour l’inspection des lieux.

Règles officielles sur les adresses

Les règles sur les adresses ont une portée limitée. Corporations Canada indique que l’adresse du siège social d’une société fédérale ne peut pas être une case postale ^[50]. Le registre des entreprises du Québec définit le domicile d’une personne morale comme l’adresse de son siège social ^[51] et précise qu’une case postale ne peut pas être fournie comme adresse d’affaires ^[51]. Aucune de ces sources ne précise si une adresse de bureau virtuel avec du personnel sur place est admissible; elles établissent donc un minimum, sans offrir de garantie de conformité.

Contexte du marché montréalais

La conjoncture des bureaux à Montréal influe sur le risque lié à la durée du bail. Cushman & Wakefield fait état d’un taux d’inoccupation global des bureaux de 16,7 % dans le Grand Montréal au T3 de 2026, en baisse par rapport à 18,2 % un an auparavant ^[52], et CBRE rapporte 17,3 %, avec une deuxième baisse trimestrielle consécutive ^[53]; les deux utilisent des mesures différentes qui ne sont pas directement comparables. Cushman & Wakefield indique un loyer brut demandé moyen de 47,55 $ le pied carré pour les immeubles de catégorie A du secteur central ^[52]. Pour situer le lectorat, l’outil fédéral de statistiques relatives à l’industrie dénombre 157 994 établissements employeurs dans les services professionnels, scientifiques et techniques à l’échelle nationale ^[54], et ISDE indique que plus de la moitié des petites entreprises employeuses du Canada sont concentrées en Ontario et au Québec ^[55]. Il s’agit de chiffres contextuels nationaux et provinciaux, et non d’estimations de la demande à Montréal.

Conséquences et pistes d’avenir

Pour les acheteurs, la principale conséquence concerne l’ordre des démarches. Lisez la LVERS et les clauses de sécurité, posez les quatre questions, puis visitez les locaux. Lorsque le travail s’effectue chez un client ou ne comporte aucun matériel protégé dans les locaux du fournisseur, la décision peut être commerciale. Lorsque l’entreposage ou le traitement électronique est requis, l’espace de travail s’intègre à un processus d’approbation réglementé, et la décision devrait être conditionnelle à la réponse écrite du PSC.

Pour les fournisseurs, la conséquence concerne la documentation. Un fournisseur capable de remettre un plan d’étage, une description des droits d’accès, des procédures pour les visiteurs et l’entretien ainsi qu’une clause de bail autorisant l’équipement de sécurité approuvé facilite la constitution du dossier de preuves du locataire, sans revendiquer d’approbation au nom de ce dernier. Les directives de la GRC sur les espaces partagés définissent déjà les responsabilités du fournisseur et de l’utilisateur pour les locataires gouvernementaux ^[28], ce qui donne aux fournisseurs un vocabulaire dont ils peuvent s’inspirer.

Plusieurs éléments pourraient changer. SPAC a publié des modifications par étapes de son processus de filtrage et présente des délais de traitement plus courts comme des cibles; le Centre canadien pour la cybersécurité maintient un profil de base d’évaluation Cloud Medium ^[33]; et la note de l’époque de la COVID sur la page des TI pourrait être mise à jour. Les lecteurs devraient vérifier de nouveau les pages actuelles de SPAC avant chaque soumission, puisque le manuel actuel est entré en vigueur le 13 août 2020 ^[2] et que les clauses contractuelles renvoient à sa dernière édition.

Des lacunes subsistent dans les preuves disponibles. Aucune source officielle consultée ne traite directement du cotravail, et les conseillers en approvisionnement ou les incubateurs pourraient utilement recueillir des réponses anonymisées du PSC sur des cas de bureaux partagés. En attendant qu’un tel ensemble de réponses existe, la pratique recommandée consiste à constituer le dossier de preuves décrit ici.

Foire aux questions (FAQ)

Un entrepreneur fédéral peut-il utiliser un espace de cotravail à Montréal?

Cela dépend du contrat. Si la LVERS et les clauses n’exigent ni entreposage ni traitement électronique chez le fournisseur, le choix de l’espace peut relever d’une décision commerciale. Si elles l’exigent, une DSC et une approbation des TI sont rattachées à cet emplacement précis ^[4].

Peut-on détenir une attestation de sécurité d’installation dans un bureau partagé?

L’attestation appartient à l’organisation ^[5], tandis que la DSC est liée à un emplacement et à un contrat ^[5]. Aucune source consultée n’indique qu’un bureau partagé est exclu ou accepté; l’inspecteur décide après examen du plan d’étage.

Quelles sont les exigences d’entreposage Protégé B pour le bureau d’un entrepreneur?

L’entreposage minimal des documents papier consiste en un classeur verrouillé dans une zone de travail ^[29], et l’accès à cette zone est limité au personnel ayant fait l’objet du filtrage approprié et aux visiteurs accompagnés ^[8].

La vérification d’organisation désignée couvre-t-elle le cotravail?

Une VOD couvre l’organisation au niveau Protégé A ou B ^[7]; elle n’approuve pas un emplacement. C’est la DSC qui remplit cette fonction pour l’entreposage ^[5].

Peut-on utiliser une adresse de bureau virtuel?

Une case postale n’est pas reconnue comme adresse d’une organisation, et l’admissibilité exige une présence physique au Canada. Le siège social d’une société fédérale ne peut pas non plus être une case postale ^[50]. Posez la question par écrit au PSC.

Que signifient les termes français?

Consultez le glossaire ci-dessus : Programme de sécurité des contrats, vérification d'organisation désignée, attestation de sécurité d'installation et autorisation de détenir des renseignements.

L’exigence change-t-elle pour les sous-traitants?

Oui : l’entrepreneur principal a besoin de l’approbation du PSC avant d’attribuer un contrat de sous-traitance comportant des exigences de sécurité ^[7].

Conclusion

Un bureau d’apparence sécuritaire, une autorisation personnelle ou une affirmation de sécurité du fournisseur ne remplace pas les approbations exigées par le contrat. L’ordre des décisions est simple à énoncer : partir de la LVERS, déterminer si le contrat exige l’entreposage ou le traitement électronique chez le fournisseur, réunir les preuves sur les locaux et poser une question écrite au PSC avant d’engager des fonds ou de s’engager à long terme. Le cotravail n’est ni accepté ni refusé en tant que catégorie; ce sont les locaux précis, le contrat précis et la confirmation écrite du PSC qui déterminent la réponse. Les lecteurs devraient considérer ce rapport comme un cadre pour cette discussion, faire examiner leur propre grille par un spécialiste de l’approvisionnement ou de la sécurité, et communiquer avec le PSC pour obtenir des réponses propres à leur cas.