２．１．４ リスク分析を踏まえた要求仕様適合性の確認への対応
医療機関等とシステム関連事業者との間で、役割分担、当該事業者が受容したリスクの内容等につ
いて合意形成を図るため、医療情報システムについて、医療機関等におけるリスクアセスメントを踏
まえた医療機関等の要求仕様への適合性を確認する必要がある。
医療機関等によるリスクアセスメントの結果、一部のリスクを委託先事業者で負うことになること
が想定される。その際に、委託先事業者が想定していたリスクの内容とリスクアセスメントを踏まえ
たリスクの内容に不一致があると、医療機関等におけるリスク管理が適切にできないことになる。そ
こで、医療機関等が責任分界を定めるに際しては、その前提としてそれぞれが負うことが想定される
リスクの内容について、合意を得るための調整を行うことになる。
実際には、システム関連事業者が提供する情報やサービス仕様適合開示書等の内容を踏まえて、遵
守している対策項目等の状況が医療機関等で求める内容と乖離があるかどうかを把握し、乖離がある
場合にはその部分についてどのように対応するのかを両者で協議し、合意した上で、医療情報システ
ム・サービスの提供を受けることが想定される。
企画管理者は、このような要求仕様適合性の調整・確認に必要な情報をシステム関連事業者から収
集し、必要な調整を行った上で、責任分界に関する取決めを行うことが求められる。
２．２ 責任分界の決め方
２．２．１ 委託と第三者提供における責任分界
医療機関等が責任分界を取り決める場面として大きく 2 つの場面が想定される。
一つが医療情報システムに関連して、委託を行う場合に委託先事業者との間で取り決める責任分界
である。もう一つは、医療機関等が保有する医療情報を、第三者に提供する際に、提供元の医療機関
等と提供先の第三者との間で取り決める責任分界である。
２．２．２ 委託における責任分界（複数事業者が関与する場合を含む）
医療機関等と委託先事業者における責任分界については、2.1 で基本的な内容を示した。
医療機関等の医療情報システム・サービスが一事業者のみから提供されたもので構成されている場
合には、2.1 に示す内容で責任分界を決定することになる。
しかし実際には、医療機関等が利用する医療情報システム・サービスは複数の事業者が提供するサ
ービスから構成されており、医療機関等と各事業者との関係を考慮した上で、責任分界を取り決める
ことになる。
また、システム関連事業者が提供するサービスの類型により、医療機関等が直接管理する医療情報
システムに関する情報機器やソフトウェアなどの範囲が異なるため、サービス類型に応じた責任分界
を取り決めることも求められる。

- 13 -