3省2ガイドラインへの対応を自院だけで進めるのは、率直に言って重い作業です。情シス担当が一人、あるいは事務職員が兼務という体制の医療機関では、通常業務と並行して規程を整備し、リスクアセスメントを行い、ベンダーと交渉するのは現実的でない場面があります。外部に委託するという判断は、まったく妥当です。
問題は、委託の仕方によって結果が大きく変わることです。同じ費用を払っても、対応が実質的に前進する場合と、立派な文書一式が納品されただけで運用は何も変わらない場合があります。両者を分けるのは支援会社の質だけではなく、医療機関側が何を委託し、何を自ら担うと決めたかです。
本記事では、ガイドライン対応を外部に委託するときに押さえるべき論点を整理します。委託できる作業とできない役割の境目、委託先の選び方、成果物の確認方法、そして丸投げが構造的に機能しない理由までを扱います。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項および委託に関する法令上の義務の解釈は、厚生労働省等の公表資料および個人情報保護法制が正本です。制度は改定され得るため、実務判断は最新の一次情報に基づいて行ってください。
委託しても責任は移転しない
最初に確認すべき原則です。ガイドライン対応を外部に委託しても、対応の責任は医療機関に残ります。
これは支援会社の責任が軽いという意味ではありません。構造の話です。ガイドラインが名宛人としているのは医療機関であり、診療情報について患者に対する立場にあるのも医療機関です。支援会社との契約は医療機関と支援会社のあいだの取り決めであって、その契約によって医療機関が負う義務が外部に移るわけではないという単純な理屈です。
この原則から、実務上3つの帰結が出ます。
- 成果物の妥当性は医療機関が判断する必要がある。 「専門家が作ったから正しいはず」は成立しません
- 運用は医療機関が回す必要がある。 規程は作れても、規程どおりに動くのは院内の人です
- 説明は医療機関がする必要がある。 監査・行政対応・患者対応の場に支援会社は立てません
責任の種類ごとの整理は 責任分界点の決め方｜医療機関と事業者 で詳しく扱っています。そこで述べた「管理責任と費用負担は移転できるが説明責任は移転しない」という構造は、システムの委託だけでなく対応支援の委託にもそのまま当てはまります。
委託できる作業と、委託できない役割
では具体的に何が委託でき、何ができないのか。作業は委託できるが、役割と判断は委託できないというのが基本線です。
| 領域 | 委託の可否 | 補足 |
|---|---|---|
| 現状調査・ギャップ分析 | 委託できる | 客観性の観点からむしろ外部が向く |
| 規程・手順書のひな形作成 | 委託できる | ただし自院の実態に合わせる作業は共同 |
| リスクアセスメントの手法提供・進行 | 委託できる | 資産の洗い出しには院内の協力が必須 |
| リスクの受容判断 | 委託できない | どのリスクを受け入れるかは医療機関の意思決定 |
| 医療情報システム安全管理責任者の選任 | 委託できない | 院内から選任する役割。加算要件にも関わる |
| ベンダーへの質問票作成・回答の評価支援 | 委託できる | 評価軸の提供と技術的な読み解きは外部が有効 |
| 委託先の決定 | 委託できない | 選定の決裁は医療機関が行う |
| 職員向け教材の作成・講師 | 委託できる | 実施記録の管理は院内に残る |
| 内部監査・点検の実施支援 | 委託できる | 客観性の観点で外部が有効な領域 |
| 是正の実行と完了判断 | 委託できない | 指摘への対応は院内の運用変更を伴う |
| BCPのひな形作成・訓練の設計 | 委託できる | 訓練の実施と参加は院内 |
| 訓練で明らかになった課題の解決 | 委託できない | 現場の運用を変える意思決定が要る |
表を眺めると、境界が見えてきます。委託できないものは、いずれも「決めること」と「現場を変えること」です。 逆に言えば、支援会社が提供できる価値は、決めるための材料を揃えること、決まったことを文書の形にすること、そして客観的な視点で点検することに集中します。
とくに注意したいのが医療情報システム安全管理責任者です。2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算では、専任の医療情報システム安全管理責任者の配置が共通要件に含まれています。この役割は外部委託で満たせる性質のものではありません。役割の設計は 医療情報安全管理責任者の役割と選任 をご覧ください。
委託先の選び方
支援を提供する事業者は多く、提供範囲も品質もばらつきます。選定にあたっては次の観点が有効です。
1. 医療分野の経験があるか
一般的な情報セキュリティコンサルティングと、医療情報を扱う環境への支援は別物です。外部保存の三基準、オンライン資格確認の要件、ネットワーク接続医療機器、部門システムの相互接続——これらを前提として話が通じるかどうかで、必要な説明の量が大きく変わります。
2. 支援範囲がどこまでか
見積りを比べるときは、金額より先に含まれる範囲を揃えてください。同じ「ガイドライン対応支援」でも、実態は次のように幅があります。
| 支援の形 | 含まれるもの | 医療機関側に残る負荷 |
|---|---|---|
| 文書ひな形の提供のみ | 規程・台帳のテンプレート | 大。自院への適合、運用設計はすべて院内 |
| 文書整備＋進行管理 | ひな形＋カスタマイズ＋工程管理 | 中。決定と現場調整は院内 |
| 上記＋点検・監査支援 | さらに内部点検の実施支援 | 小〜中。ただし是正は院内 |
| 継続的な運用支援 | 年間の点検・改定追跡・報告 | 小。運用の実行は院内 |
3. 成果物の所有権と再利用
作成された規程類の著作権・利用権がどちらにあるか。契約終了後も自院で改定して使い続けられるか。支援会社を変えたら文書が使えなくなるという契約は避けたい形です。
4. 引き継ぎの設計があるか
これが最も見落とされます。委託は永続しません。支援終了後に院内で回せる状態にすることが設計に入っているかを確認してください。良い支援会社は、最初の提案の時点で「最終的に院内に残す体制」の絵を描きます。
事業者側がどのようなルールに服しているかを知っておくことも、選定の目を養います。経産省・総務省ガイドラインの要点（事業者側） と 事業者に確認すべき質問リスト をあわせてご覧ください。なお支援会社自身が診療情報に触れる場合には、当然ながらその会社も委託先管理の対象になります。支援会社に対する秘密保持契約と、アクセス範囲の限定は必須です。
成果物をどう確認するか
納品された文書一式を前に、何を見ればよいのか。専門家が作ったものを医療機関側が評価するのは難しく感じられますが、中身の技術的妥当性より先に見るべき点があります。
1. 自院の固有名詞が入っているか
部署名、システム名、実際のベンダー名、実際の機器。これらが入っておらず「○○部門」「基幹システム」のままの文書は、ひな形がそのまま納品されている可能性があります。運用の場面で使えません。
2. 実際にできないことが書かれていないか
規程に「年2回の訓練を実施する」と書いてあるが、院内でその体制がない。「ログを毎月点検する」とあるが、点検する人が決まっていない。守れない規程は、守られていないという記録を毎年生み出すだけです。実態に合わせて水準を下げる判断も、正当な対応です。
3. 誰が何をするかが書かれているか
「適切に管理する」「必要に応じて実施する」という文言が多い文書は、運用時に機能しません。主語と頻度と記録の残し方が書かれているかを見てください。
4. 記録の様式がセットになっているか
規程だけあって記録簿がない場合、運用は始まりません。点検記録、教育受講記録、委員会議事録の様式まで揃っているかを確認します。
5. 判断の記録が残っているか
実施しないと決めた項目について、判断と理由が記録されているか。ここが空白だと、後から「なぜやっていないのか」を説明できません。
確認の際は、3省2ガイドライン対応チェックリスト の項目と突き合わせると抜けが見つけやすくなります。
「丸投げ」が機能しない理由
最後に、構造的な話をします。ガイドライン対応の丸投げが機能しないのは、支援会社の努力不足が原因ではありません。対応の本体が文書ではなく運用だからです。
ガイドラインが求めているのは、規程が存在することではなく、決めたとおりに運用されていることです。そして運用するのは院内の人です。医師が、看護師が、事務職員が、日々の業務のなかで決めたルールに従う。この部分は外部からは動かせません。
ここから、次の帰結が出ます。
- 文書を作る作業を外に出すことは有効。ここは専門性とテンプレートが効く領域で、院内でゼロから作るのは非効率
- 決める作業を外に出すことは不可能。自院のリスクをどう受け入れるかは、経営判断そのもの
- 運用を外に出すことも不可能。日常業務に埋め込まれた行動は、外部の人には実行できない
したがって、**最も費用対効果が高い委託の形は「決めるための材料を外から得て、決定と運用は院内で担う」**ことになります。丸投げでも内製でもなく、役割を分けるということです。
もう一つ、実務的な理由があります。ガイドラインは改定されます。 委託して一度整備しても、改定があれば見直しが必要です。このとき、整備の過程に院内の人が関与していなければ、何をなぜそう決めたのかが分からず、改定のたびに一から外部に頼ることになります。整備の過程そのものが、院内の理解を作る機会でもあるのです。改定の見通しは 3省2ガイドラインの改定動向 をご覧ください。
なお、事業者側としてISMS（ISO/IEC 27001）の取得を検討している場合にも、まったく同じ構造が当てはまります。規格が社内での選任を求める役割と、外部が代替できる範囲の整理は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド にまとめています。
まとめ
- 委託しても責任は移転しない。 成果物の妥当性判断、運用、説明は医療機関に残る
- 境界は明快で、作業は委託でき、「決めること」と「現場を変えること」は委託できない
- 医療情報システム安全管理責任者の選任は委託不可。 診療報酬上の要件にも関わる
- 委託先選定では、医療分野の経験・支援範囲・成果物の権利・引き継ぎの設計を見る
- 成果物は技術的妥当性より先に、自院の固有名詞が入っているか／守れる水準か／主語と頻度があるかを確認する
- 丸投げが機能しないのは、対応の本体が文書ではなく運用だから。決定と運用は院内に残す
- 整備の過程に院内が関与していないと、改定のたびに一から外部に頼る構造になる
自院にどこまで残し、どこから外に出すかの線引きからご相談いただけます。体制づくりの進め方でお困りの場合は お問い合わせ からどうぞ。事業者側として第三者認証による体制の証明を検討される場合は ISMS認証取得支援サービス をご覧ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 個人情報保護委員会
※委託に関する法令上の義務、ガイドラインの要求事項の解釈は各公表資料が正本です。制度・ガイドラインおよび診療報酬上の要件は改定され得るため、実務では最新の一次情報をご確認ください。