「システムのことは事務長と業者に任せてある」——ランサムウェア被害を受けた医療機関の公表資料を読むと、被害の前段にこの状態があったことが繰り返し出てきます。誰も嘘をついていません。それぞれが自分の持ち場で誠実に仕事をしていた。ただ、院全体としてどこまでのリスクを受け入れるかを決めた人がいなかっただけです。
「医療情報システムの安全管理に関するガイドライン 第6.0版」の経営管理編は、まさにこの状態を対象にした編です。第5.2版までは一冊の文書に経営判断も技術仕様も同居していましたが、第6.0版では読者別に4編へ分冊され、経営層に向けた編が独立しました。これは編集上の都合ではなく、責任の所在を明示するという意図です。
さらに2026年度診療報酬改定で、電子的診療情報連携体制整備加算の要件に「ガイドラインへの準拠」と「専任の医療情報システム安全管理責任者の配置」が入りました。経営層が決めなければ前に進まない論点が、収益に直結する形で表に出たことになります。
本記事は、院長・理事長・事務長が経営管理編から何を読み取ればよいかを整理したものです。各編の関係と全体像は 医療情報システムの安全管理ガイドライン第6.0版の要点 をご覧ください。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項の解釈および診療報酬の算定要件は、厚生労働省が公表する本文・通知・疑義解釈が正本です。実際の届出判断は一次資料と地方厚生局の確認に基づいて行ってください。
経営管理編が経営層に求めること
経営管理編の骨格は、企業のマネジメントシステムと同じ構造をしています。方針を決め、体制を置き、資源を配分し、報告を受け、見直す。 医療機関という形態に固有の事情はありますが、経営としてやることの種類は変わりません。
具体的には、次の5つに整理できます。
| 経営層が担うこと | 実質的に何をするのか | 委任できるか |
|---|---|---|
| 方針の決定 | 医療情報の安全管理に関する基本方針を定め、院内に示す | 不可（決裁は経営層） |
| 体制の整備 | 医療情報システム安全管理責任者を選任し、権限と報告経路を定める | 不可（選任は経営層の行為） |
| 資源の配分 | 予算・人員・時間を割り当てる。優先順位を決める | 不可 |
| リスクの受容判断 | 対応しないと決めたリスクを、経営として引き受ける | 不可 |
| 見直し | 定期的に報告を受け、方針・体制・投資を見直す | 不可（実務の準備は委任可） |
表の右列がすべて「不可」になっているのは意図的です。準備や実務は委任できますが、決めることそのものは委任できません。 稟議に判を押すこと自体が経営の行為であり、押した以上はその内容に責任が生じます。
とくに見落とされやすいのが4つ目のリスクの受容判断です。セキュリティ対策は、すべてのリスクをゼロにすることを目指しません。予算にも人にも限りがあるため、必ず「今回は対応しない」と決めるリスクが残ります。問題は、その判断が誰の判断でもないまま放置されていることです。担当者が「予算が付かないので見送った」のは、経営が受容したことになりません。受容するなら、受容したと記録に残す。 これが経営管理編の求める姿です。
委託していても責任は移転しない
医療機関から最も多く出る問いが、「電子カルテベンダーが3省2ガイドラインに準拠しているのだから、それで足りるのではないか」というものです。
答えは、足りません。
3省2ガイドラインの構造は、医療機関側＝厚労省ガイドライン、事業者側＝経産省・総務省ガイドラインという役割分担になっています。ベンダーが経産省・総務省ガイドラインに準拠していることは、ベンダーが自分の持ち場の責任を果たしているという意味であって、医療機関の責任がそこに移ったわけではありません。患者情報の管理責任は、一貫して医療機関にあります。
実務的には、次の3点が経営層の確認事項になります。
- どこまでがベンダーの責任で、どこからが自院の責任かが文書で明確になっているか（責任分界点）
- 自院側の責任範囲について、実際に誰が何をしているかが説明できるか
- ベンダーが責任を果たしていることを、自院として確認する手段があるか（報告、監査、認証の確認など）
とくに1が曖昧なまま運用されている例が目立ちます。「バックアップはベンダーがやっているはず」「アクセス権の棚卸しは病院側でやることになっているはず」——この「はず」が事故の原因になります。責任分界の決め方は 責任分界点の決め方｜医療機関と事業者、クラウド利用時の考え方は 医療機関のクラウドセキュリティ と 責任共有モデル で扱っています。
3については、事業者側が情報セキュリティ体制を第三者に証明する仕組みとしてISMS（ISO/IEC 27001）認証があります。発注側として何を見ればよいかは ISMS（ISO/IEC 27001）とは を参考にしてください。
「専任の」安全管理責任者という要件の意味
2026年度改定で新設された電子的診療情報連携体制整備加算は、医療情報取得加算と医療DX推進体制整備加算を廃止・統合し、あわせて診療録管理体制加算1のサイバーセキュリティ要件を移管・統合したものです。改定全体の構造は 2026年度診療報酬改定 全科共通事項 をご覧ください。
入院に係る区分では、要件が次のように置かれています。
| 区分 | 点数 | 要件 |
|---|---|---|
| 加算1 | 160点 | 共通要件 ＋ 複数方式によるバックアップ（一部オフライン保管）＋ サイバー攻撃等を想定したBCP策定・訓練 |
| 加算2 | 80点 | 共通要件のみ |
共通要件は、ガイドラインへの準拠と、専任の医療情報システム安全管理責任者の配置です。
経営判断として重いのは「専任の」という語です。これまで多くの医療機関では、事務長や情報システム担当が他業務と兼務する形で実質的な責任者を務めてきました。要件が「専任」を求めるということは、その人の時間を、他の業務から切り離して確保するという人員配置の決定が必要になるということです。これは現場が決められることではありません。
経営層として整理すべき論点は3つあります。
- 誰を置くか：院内から選任するのか、採用するのか。医療情報の知識と院内の調整力のどちらを優先するか
- 何を免除するか：専任にする以上、その人が現在担っている業務を誰が引き取るのか
- 権限をどう与えるか：責任者が現場に是正を求めたとき、それが通る権限設計になっているか
3つ目が最も軽視されがちです。責任だけを渡して権限を渡さないと、責任者は報告書を書く人になります。選任の具体的な考え方、兼務の可否、資格要件の扱いは 医療情報安全管理責任者の役割と選任 で詳しく扱います。
なお、安全管理責任者の具体的な資格要件や経過措置の期限については、二次情報で数値が流通していますが一次資料で確認できていません（要一次確認）。届出に向けた判断は必ず最新の通知でご確認ください。
経営層が定期的に受け取るべき報告
経営管理編が求める「見直し」を機能させるには、何が報告されてくるかを先に決めておく必要があります。報告の型が決まっていないと、「問題ありません」という一行だけが上がってくる状態になります。
最低限、次の項目を定期（年1〜2回程度、加えてインシデント発生時）で受け取る形にしておくと、経営としての判断材料になります。
| 報告項目 | 見るべきポイント |
|---|---|
| リスクアセスメントの結果 | 前回から何が変わったか。新規に増えたリスクは何か |
| 未対応リスクの一覧と理由 | 経営として受容するかどうかを判断する対象。ここが本体 |
| インシデント・ヒヤリハットの件数と内容 | ゼロ件の報告はむしろ疑う。報告経路が機能していない可能性 |
| バックアップの取得状況と復旧試験の結果 | 「取っている」ではなく「戻せることを確認した」かどうか |
| アクセス権限の棚卸し結果 | 退職者・異動者のアカウントが残っていないか |
| 職員教育・訓練の実施状況 | 受講率。未受講者が誰かまで把握できているか |
| 委託先の状況 | 契約更新、責任分界の変更、事業者側のインシデント |
このうち未対応リスクの一覧が、経営管理編の観点では最も重要です。他の項目は「できているか」の確認ですが、ここだけは経営が判断しなければ先に進まない項目だからです。
報告を受ける会議体は新設しなくても構いません。既存の運営会議や幹部会議に定例議題として置けば足ります。重要なのは議事録に残ることです。「報告を受け、この対応方針を了承した」という記録が、体制が機能していることの証拠になります。
経営層が最初の90日でやること
方針から体制まで一度に整えようとすると止まります。順序をつけると次のようになります。
- 現状を把握する（〜30日） 厚生労働省が2025年5月14日に公表した「医療機関等におけるサイバーセキュリティ対策チェックリスト」を、自院の担当者に記入させます。ここで初めて、何ができていて何ができていないかが一覧になります
- 責任者を決める（〜60日） 医療情報システム安全管理責任者を選任し、権限・報告経路・免除する業務を明文化します。加算の要件を見据えるなら「専任」の扱いをここで判断します
- 受容するリスクを決める（〜90日） チェックリストで洗い出された未対応項目を、「今期対応する」「来期対応する」「対応しない（受容する）」に仕分けます。この決定を議事録に残します
この3つが終われば、企画管理編・システム運用編が扱う実務に着手できる状態になります。実務側の内容は 企画管理編の要点 と システム運用編の要点、小規模施設での現実的な進め方は 小規模クリニックのガイドライン対応 をご覧ください。対応全体の手順は 3省2ガイドライン対応の実務ステップ、ガイドラインそのものの位置づけは 3省2ガイドラインをわかりやすく解説 にまとめています。
まとめ
- 経営管理編は、方針・体制・資源・リスク受容・見直しを経営層の責任として明示した編。準備は委任できるが、決めることは委任できない
- 委託しても責任は移転しない。ベンダーの3省2ガイドライン準拠は前提条件であって、医療機関の免責ではない
- 責任分界点が文書で明確になっているかを、経営層が確認する。「〜のはず」で運用されている領域が事故の温床になる
- 2026年度改定で「専任の医療情報システム安全管理責任者」の配置が加算要件に。人員配置の決定は経営にしかできない
- 責任者には是正を通せる権限を同時に与える。責任だけ渡すと報告書を書く人になる
- 定期報告の型を決める。とくに未対応リスクの一覧は、経営が受容判断をするための本体項目
セキュリティ体制の整備は、専門知識よりも「誰が何を決めるか」を設計する作業の比重が大きい領域です。自院での組み立て方や、加算の届出を見据えた優先順位の整理についてご相談があれば、お問い合わせ からお気軽にご連絡ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 個人情報保護委員会
- 内閣サイバーセキュリティセンター（NISC）
※ガイドラインは改定され、診療報酬の算定要件は疑義解釈により運用が明確化されます。本記事は執筆時点の公表資料に基づくものです。