運用管理規程は、チェックリストの1〜3でやっている対策を、院内のルールとして文章にしたものです。チェックリストの4-①で、立入検査で現物を確認される書類です。
診療所なら、短く、実態どおりに書くのが基本です。日本医師会や厚生労働省のひな形・文例を土台に、チェックリストの項目ごとに「誰が・何を・いつ」を数行ずつ書けば作れます。
4-①で求められていること
チェックリストの4-①は、上の1〜3のすべての項目について、具体的な実施方法を運用管理規程などに定めていることを求めています。
マニュアルは、規程に書く内容の例として次の3つを挙げています。
- 医療情報システムを使える機器の管理方法
- 医療情報システムに異常が起きたときの対応
- 職員の情報セキュリティに関する教育や訓練
そのうえで、ガイドラインや小規模医療機関等向けのガイダンスを参考にして策定するよう求め、立入検査では規程類も確認の対象になるとしています。
ガイドラインでの位置づけ
ガイドライン第7.0版の企画管理編は、安全管理が適切に行われるには、組織の中で明文化されたルールが必要だとしています。
特に重要なルールは、経営層の判断も必要なので規程として定め、経営層が承認する。規程をふまえて、細かな手順などを決めていく、という順番です。
規程の例としては、組織規程・個人情報保護規程・運用管理規程・人事や権限の規程などが挙げられています。小さな診療所では、1つの規程にまとめても構いません。
小規模な医療機関向けの保守委託機関編は、遵守項目の冒頭で、ここに挙げた内容は医療機関が運用管理規程などを作るときに含めるべき項目だと書いています。保守委託機関編の対象になる診療所は、その遵守項目を骨組みにする方法もあります。
診療所は「短く、実態どおり」でいい
ガイドラインの経営管理編には、小さな医療機関にとって大事な注意が3つ書かれています。
- 小規模な医療機関が過度に詳しい計画や規程を作ると、負担が増えて実効性が伴わなくなるおそれがある。規模に合わせて必要な内容を決める
- 他の医療機関の規程をそのまま転用すると、運用の実態と合わず、かえってリスクが増すおそれがある。極端に厳しい規程は守れず、形だけになる
- 規程が関係者に知られていなければ、守られていないのと同じ
一方で、小規模医療機関等向けのガイダンスは、同じくらいの規模で、同じシステムを使っている医療機関の規程を参考にし、実態と照らし合わせて作るのは効率的だとしています。
つまり、ひな形は使ってよいが、自院でやっていることに書き直すのがポイントです。
使えるひな形・文例
| ひな形・文例 | 作った団体 | 特徴 |
|---|---|---|
| 運用管理規程文例 | 厚生労働省 | 実施項目と文例の一覧表。「小規模病院・診療所」向けの行がある。以前の版の章番号や用語が残る |
| 情報セキュリティ管理運用規程ひな型 | 日本医師会（実践ガイドの付録） | 全27条。院長を責任者とした形で、連絡体制図・BCPの条文もある。組織によって違う部分は必ず確認するよう注記 |
| 医療情報システムの運用管理規程（雛形） | 日本薬剤師会 | 薬局向け。短い骨組みの例として参考になる |
日本医師会のひな型は、総則・組織的な対策・人的な対策・物理的な対策・技術的な対策・業者の管理・規程の改訂という構成です。チェックリストの各項目に対応する条文がそろっているので、診療所にはいちばん使いやすい土台です。
規程の骨組みと、ほかの書類との分け方
規程には全部を書き込まず、変わりやすいものは別紙にすると、あとで直すのが楽になります。
運用管理規程は「院内ルールの本体」。細かいものは別紙に出す
- 本体運用管理規程（4-①）誰が責任者か、何をどうするかを、チェックリスト1〜3の項目ごとに短く書く
- 「別に定める」として切り出す
- 機器の台帳（2-①）機器が増えたら台帳だけ直せばいい
- 連絡体制図（3-①）連絡先が変わったら図だけ直せばいい
- BCP（3-③）非常時の運用は「別に定めるBCPに従う」と書く
- MDS/SDS・事業者確認用業者ごとの書類。保管場所を規程に書いておく
厚生労働省の文例も、非常時の対応は「別途定めるBCPに従う」、連絡先は「別途定める一覧の連絡先に連絡する」という書き方をしています。
チェックリストの項目ごとに書く内容
チェックリストの1〜3の項目に沿って、規程に書く内容を整理すると次のようになります。自院でやっていることに置き換えて書いてください。
| 項目 | 規程に書く内容の例 |
|---|---|
| 1-① 責任者 | 医療情報システム安全管理責任者は院長とする。企画管理者を兼ねる。業者に任せる範囲 |
| 2-① 台帳 | 機器の台帳は別紙とし、機器を入れ替えたときと年1回、更新する |
| 2-②・2-③ 業者 | リモート保守に使う機器を業者に確認する。MDS/SDSを受け取り、保管場所を決める |
| 2-④・2-⑤ アカウント | 職種ごとに使える範囲を決める。管理者権限は限られた人だけ。退職したら速やかに削除する |
| 2-⑥ 更新 | 更新プログラムの適用は、保守契約にもとづき業者が行い、結果を報告してもらう |
| 2-⑦・2-⑧ パスワード | 英数字をまぜて13文字以上（二要素認証の導入後は8文字以上）。使い回し禁止。付箋などに書いて貼らない |
| 2-⑨ USBなど | 私物のUSBメモリなどはつながない。必要なときは責任者の許可を得る |
| 2-⑩・2-⑭ 機器の設定 | 不要なソフトの停止と、接続できる機器の制限は業者が行い、事業者確認用で確認する |
| 2-⑪・2-⑫ 二要素認証 | 導入済み、または次のシステム更新のときに導入する予定であること |
| 2-⑬ アクセスログ | 記録を残し、責任者が定期的に確認する |
| 3-① 連絡体制図 | 連絡体制図は別紙とし、年1回、連絡先を確認する |
| 3-② バックアップ | 何世代残すか、ネットから切り離した保管、戻し方の確認 |
| 3-③ BCP | 非常時は別に定めるBCPに従う。年1回、訓練して見直す |
これに、職員への教育と、年1回の点検と規程の見直しを加えれば、骨組みは完成です。
古い規程があるなら、ここを見直す
以前に作った規程がある場合は、第7.0版で変わった点に合わせて見直します。
- パスワードの定期変更：第7.0版で「定期的な変更」の要件はなくなりました。「3か月ごとに変更する」と書いてあれば、長さと使い回し禁止のルールに置き換えます
- アカウントロック：何度も間違えたらログインできなくする設定が、第7.0版で追加されました
- 用語：「運用責任者」「システム管理者」は、今の呼び方（医療情報システム安全管理責任者・企画管理者・システム運用担当者）に直します
電子カルテで診療録を保存しているなら
保存が義務づけられている診療録を電子カルテで保存している場合は、改ざんされていないこと（真正性）、読めること（見読性）、残しておけること（保存性）についての取り決めも必要です。
ガイドラインの企画管理編は、記録の確定や更新の履歴、代行入力の扱い、保存場所ごとのバックアップの頻度や方法などを、運用管理規程などに含めるよう求めています。厚生労働省の文例にも、電子保存の実施項目の表があります。電子カルテの業者に、どこまで製品の機能で対応しているかを確認して書きます。
文例：厚生労働省の文例から
厚生労働省の運用管理規程文例から、診療所で使いやすい考え方をいくつか紹介します。文例は以前の用語で書かれているので、今の呼び方に置き換えて使います。
院長が複数の役割を兼ねる場合の書き方です。
当クリニックに運用責任者、個人情報保護責任者及びシステム管理者を置き、院長をもってそれに充てること
非常時の対応は、BCPに任せる書き方です。
災害、サイバー攻撃等により、一部医療行為の停止等、医療サービス提供体制に支障が発生する非常時の場合、別途定める事業継続計画（BCP）に従って運用を行うこと
バックアップについての書き方です。
重要なファイルは数世代バックアップを複数の方式で取得し、その一部は不正ソフトウェアの混入による影響が波及しない手段で管理するとともに、復元手順を整備すること
作ったら、承認・周知・見直し
規程は、作っただけでは守られません。次の3つまでやって完成です。
- 院長が承認する。承認した日を規程の最後（附則）に書く
- 職員に知らせる。朝礼などで説明し、新しい職員にも伝える。説明した日を記録しておく
- 年1回見直す。チェックリストの点検にあわせて、実態と合わなくなったところを直す
今日やること
- ひな形を1つ選ぶ（日本医師会の会員なら実践ガイドの付録、そうでなければ厚生労働省の文例と日本薬剤師会の雛形を参考に）
- 上の表に沿って、自院でやっていることを項目ごとに数行ずつ書く。やっていないことは書かない
- 台帳・連絡体制図・BCPを別紙にして、院長が承認する
これでチェックリストの4-①は「はい」です。規程に書いた内容が、そのまま立入検査で「どうしていますか」と聞かれたときの答えになります。
