政府が策定する各種ガイドラインに法的な強制力はないが、情報漏えいなどの事故が発生した際にはそれらに準拠していたかどうかが問われる可能性もある。相澤氏は「監査実施を強制するつもりはない。各病院の現場が自主的に監査を実施するような土壌を作っていきたい」と説明する。

　しかし、監査の実施には医療機関にコストが発生する。そのため、法的拘束力がない状況で監査が実施されるかどうかについては疑問が残る。この点について相澤氏は「どのように医療現場を啓発していくか」が鍵になると説明する。

　同氏によると、実際にプライバシーマークや「医療情報システム安全管理評価制度」（以下、PREMISs）の審査を実施すると、普段から現場が意識していた課題が表出したり、審査員の指摘を受けてこれまで意識していなかった課題に気付くようになるという。また「監査が根付く土壌が形成されつつある」という実感もあるようだ。例えば、PREMISsの認定は現在4つの病院であるが「最近の問い合わせ状況からすると、今後は月に1、2件の申請が予想される」としている。

　相澤氏は「現場を理解する能力は、監査において非常に重要だ。医療現場のことを知らない監査人では何が問題なのかを理解できず、的確な質問や審査はできないだろう。単なる知識だけでは監査人の質が保てない」と説明する。

　iMISCAでは、MEDISや医療機関の協力を得て、PREMISsなどの審査現場に監査人をオブザーバーとして参加させることを実現したいという。実際の監査現場に立会い、審査員のやりとりを直接見たり、審査時の質疑応答における審査員の意図などを審査後に質問したり確認することなどで、実体験を基にした学習が可能になるからだ。

　相澤氏の話から、医療情報システム監査人の認定を受けることのメリットは以下のように整理できる。

1. 医療従事者にとっては、医療情報システムの企画・運営などで監査人としての知見を生かせることから、高度な能力を保有している証明となる
2. 医療情報システムを扱うベンダーにとっては、医療情報技師と共に医療情報システムに精通していることをアピールできる
3. 医療業界での監査業務受託を希望するベンダーや個人にとっては、今後PREMISsなどの審査をMISCA資格者に委託する可能性があり、そうした審査業務での事業展開も可能になる
4. 「公認医療情報システム監査人」（MISCA）および「公認医療情報システム監査人補」（MISCA補）にとっては、互いの監査に関する情報・意見交換の場を持つことができる
5. 監査実務を持たないMISCA補にとっては、PREMISsおよびプライバシーマーク審査にオブザーバーとして参加することで、監査体験を得られる

今後の医療ITに望まれるセキュリティ

　これまで患者情報は1つの病院内にクローズドな状態で保管されていた。そのため他業界の企業で情報漏えいが発生した場合でも「医療機関におけるセキュリティは安全だ」というある種の常識がまかり通っていた。しかし、地域医療連携の進展によって、各医療機関が保管してきた患者情報を主に病院と診療所間で相互に参照可能になった。今後は、特定の医療機関のセキュリティレベルを確認する前に患者情報を共有することにもなる。

　セキュリティの強度は、一番脆弱なシステムの強度に依存する。互いに第三者である各医療機関内の情報管理体制や技術的対策がずさんであれば、情報漏えいや改ざんのリスクは高まる。相澤氏は「セキュリティ対策が不十分な病院や診療所から患者情報が漏えいしてしまうと、政府が掲げる『どこでもMY病院』構想などのIT化にブレーキをかけてしまうことになりかねない」と指摘する（関連記事：クラウドコンピューティングが変える医療の未来）。

　内閣府は、こうした医療分野におけるセキュリティへの懸念が存在することを指摘している。内閣官房「高度情報通信ネットワーク社会推進戦略本部」の専門調査会である「医療情報化に関するタスクフォース」が2011年5月に公表した報告書では以下のように記されている。

　「どこでもMY病院」構想などの今後の医療ITの姿は、情報を提供する本人が望むかどうかに懸かっており、個人の参加をいかに促進させるかが重要になると思われる。以下の表は、2011年3月に内閣府が実施した「医療健康情報の活用サービスに関するアンケート」の結果の一部である。「医療健康情報を個人が電子的に記録・閲覧・管理、活用できるサービスが普及することを望ましくない・どちらかと言えばのぞましくないと思う理由」の1位が「セキュリティに不安を感じるから」（80.5％）となっている。

「医療健康情報を個人が電子的に記録・閲覧・管理、活用できるサービスが普及することを望ましくない・どちらかと言えば望ましくない」と思う理由：内閣官房IT戦略本部「医療健康情報の活用サービスに関するアンケート」

　医療情報化の安全については、関係省が策定した以下の4つのガイドラインがよりどころとなっている。

1. 「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」（厚生労働省：2004年）
2. 「医療情報システムの安全管理に関するガイドライン」（厚生労働省：2005年）
3. 「医療情報を受託管理する情報処理事業者向けガイドライン」（経済産業省：2008年）
4. 「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン」（総務省：2009年）

　今後は、当該ガイドラインに基づいた情報管理が実施されているかを確認し、適切に管理していることをアピールすることが必要になるといえる。

　医療情報システム監査人認定制度が普及し、監査を通じて医療機関が患者情報管理のPDCAサイクルを循環させることで、医療分野における情報セキュリティが強固になることに期待したい。