「ISMS認証をお持ちですか」という質問が商談の初期に出てきたとき、それが雑談なのか、足切りなのかを見分けられないと、対応を誤ります。取得には時間も費用もかかるため、「念のため取っておく」という判断は現実的ではありません。
医療機関・製薬企業・自治体が委託先にISMSを求めるのには、それぞれ別の理由と、別の書かれ方があります。この構造を理解していれば、要求の強さを読み、いつまでに何を用意すべきかを逆算できます。
本記事では、医療機関の要求が生まれる構造、製薬・自治体の調達仕様書での表れ方、入札における必須要件と加点要件の違い、そして認証がない段階での実務的な打ち手を整理します。ISMS全体の位置づけは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。調達要件・入札条件の解釈は、各調達機関が公表する仕様書・公告が正本です。個別の応札可否は必ず当該文書と発注者への確認に基づいて判断してください。
医療機関の要求が生まれる構造
医療機関が委託先にセキュリティ水準の証明を求めるのは、担当者の好みではありません。医療機関自身が義務を負っていることの帰結です。
構造はこうなっています。
- 医療機関は、医療情報システムの安全管理について 3省2ガイドライン（厚生労働省・経済産業省・総務省）への対応を求められている
- ガイドラインは、医療情報の取扱いを外部に委託する場合でも、医療機関側の責任が消えないという考え方に立っている
- したがって医療機関は、委託先が同等の管理水準にあることを確認し、記録として残す必要がある
- その確認手段として、第三者認証と、独自のチェックシートが使われる
3番目のステップが本質です。 「委託したから責任も移った」とは扱われないため、医療機関は委託先の管理状況を把握し続ける義務を負います。ISMS認証は、この確認作業を大幅に簡略化する手段として機能します。
この背景は 3省2ガイドラインとは｜医療情報システムの安全管理 と 3省2ガイドライン対応の実務ステップ で詳しく扱っています。責任の切り分けについては 責任分界点の決め方｜医療機関と事業者 が参考になります。
事業者側にとって重要なのは、医療機関の担当者に裁量がない場合があるという点です。「実績があるから今回は不要」という判断が現場でできないことがあります。この場合、交渉の余地は限られます。
業種ごとの要求の出方
同じ「ISMSを持っていますか」でも、発注者の業種によって要求の性質が変わります。
| 発注者 | 要求の根拠 | 典型的な書かれ方 | 交渉余地 |
|---|---|---|---|
| 医療機関 | 3省2ガイドラインへの対応義務 | 委託契約書の安全管理条項、独自のチェックシート、RFPの前提条件 | 規模により差。大病院・大学病院ほど硬い |
| 製薬企業 | 自社のグローバル調達基準、GxP関連の要求、親会社基準 | ベンダー登録要件、サプライヤーアセスメント、MSAの附属文書 | 登録要件は硬い。プロジェクト単位では相談可のことも |
| 自治体・公的機関 | 調達規則、情報セキュリティポリシー、個人情報保護条例 | 入札公告・仕様書に明記される | 公告後はほぼ不可。公告前の意見聴取が唯一の機会 |
| 大企業（元請け） | 自社の委託先管理基準、サプライチェーンリスク対策 | 取引開始時の与信・セキュリティ審査 | 段階的な適合を認める例がある |
製薬企業のケースで見落とされやすいのは、「ベンダー登録」と「個別案件」で審査の硬さが違うことです。ベンダーリストに載るための要件として認証が求められている場合、案件ごとの交渉では動きません。一方、既に登録済みで案件単位の追加審査であれば、代替手段が認められることがあります。
自治体のケースは最も明確です。 入札公告と仕様書に書かれた要件は、公告後に変更されません。ここで「ISO/IEC 27001の認証を有すること」と書かれていれば、認証がない事業者は応札できません。
必須要件と加点要件の見分け方
入札・調達において、この区別を誤ることが最も大きな損失につながります。
| 区分 | 表記の例 | 意味 | 対応 |
|---|---|---|---|
| 必須要件（参加資格） | 「〜を有していること」「〜であること」 | 満たさなければ応札・参加ができない | 取得が前提。間に合わないなら見送りかパートナー経由 |
| 加点要件（評価項目） | 「〜を有する場合は加点する」「〜が望ましい」 | なくても応札可。総合評価で差がつく | 他の評価項目でカバーできるかを試算する |
| 確認事項（提出書類） | 「〜の体制について記載すること」 | 認証ではなく説明を求めている | チェックシート的な回答で対応可能 |
「望ましい」は加点要件です。必須ではありません。 ここを必須と読んで見送ってしまうケースがあります。逆に、「〜を有していること」と書かれているのに「実質的に同等の体制がある」と主張して応札しても、形式審査で落ちます。
判断に迷ったら、公告に記載された質問期間中に発注者へ照会するのが唯一かつ最も確実な方法です。回答は他の応札者にも共有されるのが通例ですが、確実に判断できることのほうが重要です。
加点要件の場合は、取得コストと落札可能性を天秤にかけた試算が必要になります。加点幅が総合評価の1〜2%程度であれば、他の項目で十分に挽回できることもあります。この計算の考え方は ISMS認証を取らない選択肢｜チェックシート対応との比較 で扱っています。費用の全体像は ISMS取得費用の全体像 をご覧ください。
認証がない段階での打ち手
要求が出たときに認証がない、しかし案件は進めたい。よくある状況です。現実的な手が3つあります。
1. 取得計画を提示する
「いつまでに、どの適用範囲で、どの審査機関で取得予定か」を文書で示します。着手済みであることが示せると、発注者側が段階的な適合を認める余地が出ます。キックオフ済みの証跡（審査機関との契約、社内の体制図、リスクアセスメントの着手記録）があると説得力が違います。 取得の標準期間はおよそ6か月です（ISMS取得にかかる期間）。
2. 現時点の体制を構造化して説明する
認証はなくとも、規程・台帳・アクセス管理・ログ・インシデント対応手順が整備されていれば、それを体系立てて示せます。個別の回答の寄せ集めではなく、文書体系として提示することがポイントです（ISMS文書体系｜何をどこまで作るか）。
3. 適用範囲を絞って先に取る
全社を対象にすると時間がかかります。当該案件に関係するサービス・拠点・人員に適用範囲を絞れば、期間と費用を圧縮できます。ただし、認証書に書かれる適用範囲は発注者が読むため、案件の対象範囲をカバーしていなければ意味がありません。設計の考え方は ISMS適用範囲の決め方 と ヘルスケア企業のISMS適用範囲設計 をご覧ください。
なお、海外の発注者が相手の場合は、認定機関の選択も見られることがあります（ISMS-AC・UKAS・ANAB｜認定機関の違いと選び方）。クラウドサービスを提供している場合は、27017・27018 の追加取得を求められることもあります（ISO 27017・27018とは）。
まとめ
- 医療機関の要求は担当者の好みではなく、3省2ガイドラインの対応義務が委託先に転写された結果。裁量がない場合がある
- 業種で要求の硬さが違う。自治体の入札公告が最も硬く、公告後は変更されない
- 製薬企業は「ベンダー登録要件」と「案件単位の審査」で硬さが異なる
- 必須要件と加点要件の読み違いが最大の損失。「望ましい」は加点要件。迷ったら質問期間中に発注者へ照会する
- 認証がない段階では、取得計画の提示・体制の構造化・適用範囲を絞った取得の3つが打ち手
- 適用範囲は認証書に記載され、発注者が読む。案件の対象をカバーしているかが要
ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。取引条件として要求が出ている場合は、案件のスケジュールから逆算した適用範囲の設計と、審査機関の相見積取得をご案内します。標準で約6か月、短期での取得をご希望の場合はオプションでの対応も可能です。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン｜経済産業省
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
※調達要件・入札条件は各調達機関の公表する仕様書・公告が正本です。ガイドラインは改定されることがあるため、最新版をご確認ください。