公立病院の補助制度と導入検討ガイド：制度要件・安全管理・個人情報・委託・停止・監査の実務
目次
はじめに：目的と本文の位置づけ
本稿は、公立病院が国や自治体の補助制度を利用してAIやデジタル化を検討する際に、制度要件と安全管理、個人情報保護、委託管理、運用停止・監査といった実務上の論点を整理する実務ガイドです。記載内容は、総務省、厚生労働省、個人情報保護委員会、経済産業省の公開一次資料を参照し、病院の意思決定や最終判断は必ず担当責任者が行うことを前提にしています（後段の「判断を人に残す事項」を必ず参照してください）。
参照した主要資料（一覧は本文末に示します）には、補助制度の公募要領や安全管理ガイドライン、個人情報取扱ガイダンス、AIガイドラインなどが含まれます。補助制度ごとの対象経費や申請書式、要件は公募ごとに異なるため、制度毎の公表資料を必ず確認してください。
補助制度を検討する際の全体フロー
補助制度の活用を検討する際は、以下の流れで進めると実務的です。
- 制度の公募要領を確認し、対象者・対象経費・要件・申請期限を把握する。
- 自院の課題と導入目的を明確化し、制度趣旨との整合性を整理する。
- 対象データの範囲とリスクを分類し、個人情報保護上の取扱方針を定義する。
- 委託先の役割と契約条項を設計し、安全管理措置を契約に反映する。
- 導入後の評価指標、監査計画、停止基準、インシデント対応フローを策定する。
- 申請書類を作成し、必要な承認を得て申請する。
上記の各段階では、病院の意思決定機関（経営会議、審査委員会等）と情報管理担当者、個人情報保護担当者、法務・監査担当が協働して判断することが重要です。
制度確認で見るべき主要項目
補助金や助成金の公募要領で必ず確認すべき項目は次の通りです。公募要領に記載される文言が正式な運用ルールになります。
- 対象者の資格要件（公立病院の位置づけ・申請主体）
- 対象経費の明細（ソフトウェア、ハードウェア、導入支援、教育等の範囲）
- 補助対象外の経費や条件（継続的な運用費、人件費の取り扱い等）
- 要件を満たすための事業計画の要旨（成果指標や運用体制の記載要否）
- 申請手続きと提出書類、審査基準、報告義務
- 監査や事後チェックの実施方法（書類提出、現地確認等）
制度の要件に合致させる書類作成では、制度趣旨と自院の課題解決の整合性を明確に示すことが求められます。説明責任を果たすため、計画と実行の差異を把握できるように指標と測定方法を設定してください。
医療情報システムと安全管理の実務設計
医療情報をAIや外部サービスに接続する場合、厚生労働省が示す安全管理ガイドラインを参照して、可用性・完全性・機密性の観点からシステム設計を行ってください。実務上のポイントは次のとおりです。
- 権限設計とアクセス制御：役割に応じた最小権限を定義して実装すること。
- ネットワーク分離と通信の暗号化：医療情報と外部サービス間の通信経路を明確化し、通信の保護を行うこと。
- ログ管理と監査痕跡：操作ログを適切に保存し、定期的に監査する体制を整備すること。
- バックアップと復旧手順：バックアップポリシー、復旧手順、代替運用を定め、BCP訓練を実施すること。
- インシデント対応：インシデント発生時の連絡網、初動対応、報告先（行政含む）を明確にすること。
- 接続の可否判断：医療情報システムへの直接接続や外部API利用の可否は、病院の管理責任者と情報セキュリティ担当が最終承認すること。
ガイドラインに沿ったチェックリストを作成し、導入前・導入後の確認を定期的に実施してください。
個人情報・診療情報の取扱いと委託管理
診療情報や個人情報の利活用は社会的・法的責任が大きいため、個人情報保護委員会と厚生労働省のガイダンスに従い、以下を整理してください。
- 利用目的の特定と通知：データ投入に先立ち、利用目的を明示し、必要に応じて患者への告知や同意取得の方針を確定すること。
- データ範囲の明確化：診療情報、遺伝情報、マイナンバー等の特に慎重な情報を含むか否かを明確にすること。
- 加工処理の方針：匿名加工情報あるいは仮名加工の扱いと再識別リスクの評価を行うこと。単なるマスキングと匿名化は同一視しないこと。
- 委託契約と監督：委託先に求める安全管理措置を契約条項に明記し、定期的な監査と監督体制を実装すること。
- 外国への移転と第三者提供：国外にある第三者への提供がある場合の法的制約と手続きを確認すること。
- データの保存・削除：保存期間と削除手順を明確化し、不要データの廃棄手順を策定すること。
委託先の評価は、契約前の審査、契約中のモニタリング、契約終了時の情報回収・削除確認を含めて設計してください。
導入前に整備する文書・記録と実務チェックリスト
下表は、補助申請や導入判断の際に最低限整備すべき文書類の例です。各項目は制度の要件や病院の内部規程に合わせて具体化してください。
| 文書・記録 | 内容のポイント | 管理責任者 |
|---|---|---|
| 事業計画書（制度向け） | 目的、対象業務、整合性、評価指標、運用体制 | 経営企画担当 |
| データ取扱方針 | 利用目的、対象データ、保存期間、削除基準 | 個人情報保護担当 |
| 委託契約書類 | 安全措置、再委託の制限、監査条項 | 事務・法務担当 |
| システム接続設計書 | 権限設計、通信方式、バックアップ計画 | 情報システム担当 |
| 監査・評価計画 | 定期監査、評価指標、報告方法 | 監査・品質管理担当 |
| インシデント対応手順 | 初動、報告先、対応責任者、代替運用 | 総務・情報セキュリティ担当 |
これらの文書は、補助申請書類の根拠資料となる場合があり、また導入後の監査に備える上でも重要です。
運用中の評価・監査と停止基準の設計
補助事業では、導入後の評価や事後監査が求められることが多く、運用中の監査と停止基準を予め設計しておくことが求められます。実務上の留意点は以下です。
- 評価指標の設定：制度要件に沿った成果指標と、患者安全・業務継続性に関する指標を分けて設定すること。
- 定期監査の頻度と項目：技術的な脆弱性、委託先の遵守状況、ログ管理の適正性などを監査項目に含めること。
- 停止基準の明文化：重大インシデントや安全性が損なわれると判断した場合の停止要件と手順を定めること。
- 代替運用の準備：サービス停止時の代替手順と患者対応フローを用意し、関係者に周知すること。
- 報告義務と情報公開：補助事業の報告や、必要に応じた住民への説明義務を整理しておくこと。
監査結果は経営会議や関係部署に報告し、必要があれば運用方針を見直してください。
判断を人に残す事項（必ず病院の責任者が最終決定する項目）
以下の事項は、AIや外部サービスの導入に関して最終的に人の責任で判断すべき高リスク事項です。病院の責任者が関係部門と協議のうえ決定してください。
- 診断・治療・処方等の臨床判断をAIに委ねるか否か
- トリアージや緊急度判定等、患者安全に直結する自動化の可否
- 診療情報や特に慎重に扱うべき情報を外部へ入力する可否、及びその範囲
- 医療情報システムへの接続許可、権限設計、BCPや切替手順の承認
- 委託先に対する契約上の責任分担と監査頻度の決定
- 導入の停止基準、監査頻度、職員教育の基準、患者への説明方針
- 出力を対外公表・報告書に使用する際の最終承認ルール
これらの判断は、必ず医療職、情報セキュリティ担当、個人情報保護担当、法務・監査担当を含めた意思決定プロセスで行ってください。
事例紹介の扱い方（実務的注意点）
導入の参考にするために他院の取り組みを参照することは有効ですが、以下の点に注意してください。
- 他院の記述はあくまで参考情報であり、自院の状況・制度要件に合わせて評価すること。
- 他院の成果や数値は公募要領の効果算定とは異なるため、無批判に流用しないこと。
- 患者安全に関わる業務では、原資料との突合と医療職による最終確認を必須とすること。
公的資料や学会ガイドライン、制度の公表資料を一次情報として優先的に参照してください。
よくある質問（FAQ）
Q1. 補助制度ではどのような費目が対象になり得ますか？自己負担の考え方はどうすべきですか？
補助制度ごとに対象経費の範囲は異なりますが、一般的にはソフトウェアやハードウェアの導入費用、システム構築費、導入支援・教育に関連する費用が対象となる場合があります。一方で、恒常的な運用費や一部の人件費が補助対象外になる場合があるため、公募要領で対象経費の定義を確認し、自己負担分の見積りと財務計画を作成してください。事前に自治体や公募担当窓口へ照会すると、解釈のズレを減らせます。
Q2. 導入の検討から運用開始までに準備すべき主な項目は何ですか？
主な準備項目は、（1）制度要件と自院の目的のすり合わせ、（2）対象データと個人情報の取扱い方針の策定、（3）委託先の選定と契約条項の設計、（4）システムの安全管理設計（権限・バックアップ・ログ等）、（5）評価・監査計画と停止基準の設定、（6）職員教育と患者向け説明方針の確定です。各項目は導入前に文書化し、関係者の承認を得てください。
Q3. 医療データの安全管理で最低限整えるべき体制は何ですか？
厚生労働省の医療情報システム安全管理ガイドラインを踏まえ、最低限次の体制を整備してください。権限管理の仕組み（最小権限の適用）、通信と保存の暗号化、操作ログの収集と保存、定期的な脆弱性診断と監査、バックアップと復旧手順、インシデント発生時の初動と報告フロー、委託先の管理と契約上の安全措置の明示です。これらは運用中に定期的に見直す必要があります。
まとめと実務的な次の一手
- 補助制度を活用する場合、公募要領の要件確認と自院の目的の整合性が出発点です。
- 医療情報の安全管理、個人情報の取扱い、委託契約、監査・停止基準の整備は不可欠であり、いずれも文書化して承認を得てください。
- 高リスクな判断（診療に直結する判断やシステム接続の可否等）は必ず人の責任で最終決定すること。
- 公的なガイドラインや一次資料に基づき、外部専門家の助言を得ながら実務を進めることを推奨します。
以下の一次資料を参照し、各制度・手続きの最新情報と詳細要件を必ず確認してください。
