○塩竈市立病院医療情報システム内部監査規程
令和3年12月15日
市立病院庁訓第23号
(趣旨)
第1条 この規程は、塩竈市立病院(以下「市立病院」という。)の医療情報システムが、塩竈市立病院情報セキュリティポリシー(塩竈市立病院情報セキュリティ基本方針(令和3年市立病院告示第2号。以下「基本方針」という。)第2項に定めるものをいう。)に従い、適正に運用されていることを内部的に監査するため必要な事項を定める。
(監査責任者の責務)
第2条 基本方針第7項第4号に定める医療情報システム監査責任者(以下「監査責任者」という。)は、公平かつ客観的に医療情報システムの監査を実施しなければならない。
2 監査責任者は、前項の監査を実施する責任と権限を有する。
3 監査責任者は、監査計画を立案し、監査を指揮し、監査報告書を作成し、医療情報システム運用責任者(以下「運用責任者」という。)に報告するものとする。
(監査員)
第3条 監査責任者は、医療情報システムの監査を円滑に実施するため、院内から医療情報システム監査員(以下「監査員」という。)を選任することができる。
2 監査員は、自らの所属する部門の監査を行うことができない。
(監査対象範囲)
第4条 監査の対象は、基本方針第3項第5号に定める医療情報システム並びに同システムに関わる全業務及び全部門とする。
(監査の種類及び時期)
第5条 監査の種類及び実施時期は、次の各号に掲げるとおりとする。
(1) 定期監査 年1回、年度監査計画書で定める時期に行う。
(2) 臨時監査 運用責任者が必要と認めたときに行う。
(年度監査計画書)
第6条 監査責任者は、年度当初に年度監査計画書(監査の目的、対象、時期及び監査内容を含む。)の案を作成し、塩竈市立病院医療情報システム管理委員会(以下「システム管理委員会」という。)の審議を経た上で、運用責任者の承認を受けなければならない。
2 監査責任者は、前項の承認を受けた年度監査計画書を、医療情報システム管理者(以下「システム管理者」という。)及び医療情報システム部門管理者(以下「部門管理者」という。)に通知するものとする。
(監査計画書)
第7条 監査責任者は、年度監査計画書に基づき、部門(電子カルテシステムを含む。以下同じ。)ごとに監査計画書を作成しなければならない。
2 監査責任者は、前項の監査計画書(以下「部門監査計画書」という。)に基づき監査を実施させるため、情報セキュリティに関する知識及び経験を有する職員の中から、監査員を選任することができる。
3 監査責任者は、部門の監査を実施するときは、事前に部門監査計画書及び監査を行う監査員を、システム管理者及び監査対象部門管理者に通知しなければならない。
(監査の実施)
第8条 監査員(監査責任者が直接監査を行う場合は監査責任者。以下同じ。)は、監査対象部門管理者と、監査の手順、内容、実施日時等を確認した上で、監査を実施するものとする。
2 監査は、事前に監査員が作成した監査チェックシートに基づき、現場での確認及びヒアリングにより実施する。
(監査結果)
第9条 監査員は、監査の結果について監査対象部門管理者と確認の上、次の各号を含む監査報告書を作成し、監査責任者に提出しなければならない。
(1) 監査総評
(2) 情報セキュリティポリシーに適合していない項目(以下「不適合項目」という。)の有無
(3) 不適合項目があった場合は、その是正を求めた内容(以下「是正指示」という。)
(4) 是正指示に対する改善の有無と、直ちに改善できない場合の改善見込み時期
(5) その他、将来的に不適合項目となることが予想される項目の予防措置等
(是正措置)
第10条 監査対象部門管理者は、監査員から是正指示があった項目で、直ちに対応できなかったものについては、速やかに是正のための作業を行い、完了後はその旨を監査責任者に報告しなければならない。
(年度監査報告)
第11条 監査責任者は、年度内に実施した監査の監査報告書を取りまとめ、年度監査報告書を作成して、システム管理委員会及び運用責任者に報告するものとする。
(運用責任者の責務)
第12条 運用責任者は、前条の報告を踏まえ、医療情報システムがより適正に運用されるように、各種規程を見直すなど改善を図らなければならない。
(緊急是正措置)
第13条 前条までの規定にかかわらず、監査員が直ちに是正が必要と認めた項目を発見し、その場で是正が困難であるときは、監査責任者に報告して指示を仰がなければならない。
2 監査責任者が前項の報告を受けたときは、直ちに運用責任者と協議の上、必要な措置を行うものとする。
(その他)
第14条 この規程に定めるほか、監査の実施に関し必要な事項は、運用管理者が定める。
附則
この庁訓は、令和4年1月1日から施行する。