医療情報安全管理責任者——正式には医療情報システム安全管理責任者という役割は、多くの医療機関で「名前だけは置いてある」状態になっていました。規程の体制図に事務長の名前が書かれているが、実際の業務は情報システム担当が個人の判断で回している。そういう構造は珍しくありません。
2026年度（令和8年度）診療報酬改定で、この状況が変わりました。新設された電子的診療情報連携体制整備加算の共通要件に、「専任の」医療情報システム安全管理責任者の配置が入ったためです。名前を書くだけでは足りず、その人の時間を確保するという人員配置の決定が必要になりました。
とはいえ、現場の疑問はここからです。誰を選任すればよいのか。医師でなければならないのか。他の業務と兼務してよいのか。小規模クリニックでは誰が担うのか。本記事はこれらを整理します。加算の全体像と4編構成については 医療情報システムの安全管理ガイドライン第6.0版の要点 をご覧ください。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項の解釈および診療報酬の算定要件は、厚生労働省が公表する本文・通知・疑義解釈が正本です。届出の可否は必ず最新の通知および地方厚生局の確認に基づいて判断してください。
なぜ「専任」が要件に入ったのか
2026年度改定では、医療情報取得加算と医療DX推進体制整備加算が廃止され、両者を統合・改組する形で電子的診療情報連携体制整備加算が新設されました。あわせて、従来診療録管理体制加算1に置かれていたサイバーセキュリティ関連の要件が、本加算へ移管・統合されています。改定全体の構造は 2026年度診療報酬改定 全科共通事項 にまとめています。
入院に係る区分の要件は次のとおりです。
| 区分 | 点数 | 要件 |
|---|---|---|
| 加算1 | 160点 | 共通要件 ＋ 複数方式によるバックアップ（一部オフライン保管）＋ サイバー攻撃等を想定したBCP策定・訓練 |
| 加算2 | 80点 | 共通要件のみ |
共通要件は2つです。
- 「医療情報システムの安全管理に関するガイドライン」への準拠
- 専任の医療情報システム安全管理責任者の配置
この2つが並んでいることに意味があります。ガイドライン準拠は「文書と運用が整っていること」ですが、それを継続的に維持する人がいなければ、届出の時点だけ整った状態になって終わります。「専任」という要件は、維持する主体を医療機関として確保せよという要求だと読むのが素直です。
なお、安全管理責任者の具体的な資格要件や、要件適用に関する経過措置の期限については、二次情報でいくつかの説明が流通していますが、一次資料で確認できていません（要一次確認）。届出の判断は必ず最新の通知でご確認ください。
責任者が実際に担う仕事
「安全管理責任者」という肩書から想像されるのは技術的な役割ですが、実際に担う業務の大半は調整と記録です。技術そのものはベンダーが担う部分が大きく、責任者の価値は院内で決めさせ、決めたことを回し、説明できる状態に保つところにあります。
年間で回る業務を整理すると次のようになります。
| 時期 | 業務 | 成果物・記録 |
|---|---|---|
| 通年 | アカウントの発行・停止の承認、ベンダー窓口 | 申請・承認記録 |
| 通年 | インシデント・ヒヤリハットの受付と一次判断 | 対応記録 |
| 月次〜四半期 | バックアップ実行結果とログ点検結果の確認 | 点検記録 |
| 年1回 | 情報資産台帳の更新、アクセス権限の棚卸し | 更新済み台帳、棚卸し結果 |
| 年1回 | リスクアセスメントの見直し、未対応リスクの整理 | リスク評価表、受容判断の起案 |
| 年1回 | 職員教育の実施と受講状況の管理 | 個人単位の受講記録 |
| 年1回 | 委託先の状況確認（契約、認証の有効性・適用範囲） | 委託先一覧と確認記録 |
| 年1回以上 | 経営層への報告 | 議事録 |
| 年1回以上 | BCPの訓練（加算1を算定する場合） | 訓練記録と改善点 |
この一覧を見ると、専門知識を要する部分は限定的であることが分かります。多くは「期日に、決まったことを、記録に残しながら実施する」業務です。逆にいえば、期日管理と記録の習慣がある人が向いています。
一方で、責任者に渡してはいけないものもあります。未対応リスクを受容するかどうかの最終判断です。これは経営層の判断であり、責任者の仕事は「判断できる形に整理して上げること」までです。ここを混同すると、責任者が予算のない対策を自分の責任で見送る構造ができ、事故時に個人が責めを負うことになります。詳しくは 経営管理編の要点｜経営層が負う責任 をご覧ください。
誰を選任するか
選任の候補と、それぞれの向き・不向きを整理します。
| 候補 | 強み | 弱み | 補い方 |
|---|---|---|---|
| 事務長・事務部長 | 院内の調整力がある。経営層に近く報告経路が短い | 技術的な判断が難しい。他業務が多く「専任」にしづらい | 技術判断はベンダー・外部に確認する体制を作る |
| 情報システム担当・医療情報部門 | 技術的な実態を把握している | 部門に対して是正を求める権限が弱いことがある | 権限を明文化し、経営層の後ろ盾を可視化する |
| 医師（医療情報に明るい） | 臨床業務への影響を判断できる。院内での説得力がある | 診療業務があり時間確保が難しい | 実務担当を別に置き、責任者は判断に集中する |
| 診療情報管理士 | 記録管理の専門性がある。ログ・アクセス管理と親和性が高い | システム基盤側の知識は別途必要 | 基盤側はベンダーとの窓口を明確にする |
| 外部からの採用 | 専門性を確保できる | 院内の事情や人間関係の把握に時間がかかる | 着任初期は事務長等が伴走する |
どの候補にも共通する成立条件は、権限です。 責任者が「この設定を変えてください」「この運用をやめてください」と言ったときに、それが通らなければ役割は成立しません。選任と同時に、次を文書で明確にしてください。
- 責任者の権限の範囲（何を止められるか、何を要求できるか）
- 報告経路（誰に直接報告できるか。間に何人挟むか）
- 免除する業務（専任にするなら、現在の業務を誰が引き取るか）
- 代行者（責任者が不在のとき誰が判断するか）
4つ目は軽く見られがちですが、インシデントは責任者の在席時に起きるとは限りません。夜間・休日に誰が一次判断をするかを決めていないと、初動が止まります。インシデント時の動きは システム運用編の要点 と 医療機関のインシデント対応計画 で扱っています。
兼務をどう扱うか
最も質問が多いのが兼務の可否です。整理すると、論点は2つに分かれます。
論点1：ガイドライン上の兼務
ガイドラインは役割の設置を求めていますが、施設の規模に応じた合理的な体制を許容する構造になっています。小規模施設で事務長が他業務と兼ねること自体が否定されるわけではありません。重要なのは、役割が実際に果たされているかどうかです。
論点2：加算の要件としての「専任」
一方、加算の共通要件に入った「専任の」という語は、より厳格に読む必要があります。加算を算定するなら、その人の業務として安全管理を位置づけ、時間を確保していることを説明できなければなりません。
したがって、自院の状況に応じて次のように整理するのが現実的です。
| 自院の状況 | 考え方 |
|---|---|
| 加算を算定する（入院） | 「専任」の要件を満たす配置を前提に検討する。人員配置の決定は経営層が行う |
| 加算の算定予定がない | ガイドライン上の役割設置は必要。兼務でも、役割と時間が明確なら成立し得る |
| 将来的に算定を検討する | まず兼務で役割を立ち上げ、業務量を実測してから専任化の判断をする |
3つ目のアプローチが現実的な医療機関は多いはずです。先に「専任にすると何をやることになるのか」を実測するほうが、人員配置の判断材料になります。前節の年間業務一覧を使い、半年ほど実際に回してみて工数を記録すると、必要な時間が見えてきます。
なお、「専任」の具体的な判定基準（他業務との兼務をどこまで認めるか等）は、疑義解釈で明確化される性質の論点です。届出前に必ず最新の通知と地方厚生局の確認を取ってください。
小規模クリニックではどう成立させるか
10人規模のクリニックに「専任の安全管理責任者」を置くのは、現実的ではない場合が多いでしょう。しかし、役割そのものは規模を問わず必要です。ガイドラインの対象は「全ての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者」であり、規模や種類を問いません。
小規模施設で成立させるための考え方は3つあります。
1. 役割を分解して、分担する
「安全管理責任者」を一人の万能な人として想定すると成立しません。業務を分解すると、実は分担できます。
| 業務 | 小規模施設での担い手 |
|---|---|
| 決める（方針、リスク受容、予算） | 院長（委任不可） |
| 回す（台帳更新、棚卸し、教育、記録） | 事務長または事務のリーダー |
| 技術的な実行（バックアップ設定、パッチ、機器更新） | ベンダー（契約で明確化） |
| 技術的な妥当性の確認 | ベンダーまたは外部の第三者 |
この形にすると、院内で必要なのは「決める人」と「回す人」の2人です。責任者としては院長または事務長を選任し、実務を分担する構造が現実的です。
2. やることを絞る
すべてを同時に整えようとすると止まります。小規模施設で先に手を付けるべきは、バックアップとアクセス管理です。この2つは、被害が起きたときの結果に最も直結します。優先順位の付け方は 小規模クリニックのガイドライン対応｜どこまでやるか で詳しく扱います。
3. ベンダーに任せる範囲を契約で決める
小規模施設の実態として、技術的な作業はほぼベンダー依存になります。問題は、任せていることが契約で明確になっていないことです。「バックアップはやってくれているはず」という状態を、「バックアップの取得・保管・復旧試験は事業者の責任範囲であり、結果を月次で報告する」と契約に落とす。これだけで管理の質が変わります。責任分界の決め方は 責任分界点の決め方、事業者への確認事項は ベンダーへのセキュリティチェックシート をご覧ください。
ただし繰り返しになりますが、委託しても医療機関の責任は移転しません。ベンダーが経産省・総務省ガイドラインに準拠していることは前提条件であって、免責ではありません。この構造は 3省2ガイドラインをわかりやすく解説 と、事業者側の認証制度をまとめた ISMS（ISO/IEC 27001）とは を読むと整理できます。
まとめ
- 2026年度改定で、「専任の」医療情報システム安全管理責任者の配置が電子的診療情報連携体制整備加算の共通要件に入った。名前を置くだけでは足りない
- 責任者の業務の大半は調整と記録。専門知識より、期日管理と記録の習慣が効く
- 未対応リスクの受容判断は責任者に渡さない。それは経営層の判断であり、責任者の仕事は判断できる形に整理して上げるところまで
- 選任と同時に、権限・報告経路・免除する業務・代行者を文書で明確にする。権限のない責任者は報告書を書く人になる
- 兼務は、ガイドライン上の役割設置と**加算要件としての「専任」**を分けて考える。算定予定がなければ兼務でも成立し得る
- 小規模施設では、役割を「決める人」「回す人」「ベンダー」に分解する。まず着手すべきはバックアップとアクセス管理
- 「専任」の具体的な判定基準・資格要件・経過措置は要一次確認。届出前に最新の通知と地方厚生局の確認を
責任者を誰にするか、何をどこまで任せるかは、院内の事情に大きく左右される判断です。役割設計や、加算の届出を見据えた体制整理についてご相談があれば、お問い合わせ からお気軽にご連絡ください。実務側の内容は 企画管理編の要点 と システム運用編の要点 をあわせてご覧ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 個人情報保護委員会
- 情報処理推進機構（IPA）
※ガイドラインは改定され、診療報酬の算定要件は疑義解釈により運用が明確化されます。本記事は執筆時点の公表資料に基づくものです。届出・算定の判断は最新の通知および地方厚生局の確認に基づいて行ってください。