医療情報技師能力検定試験 病院情報システムの導入と運用 練習問題 第2問: ある病院では情報セキュリティインシデントは起きていないが、外来の患者から「この病院の電子カルテは、どのような仕組みと手順で運用されているのか説明してほしい」と求

「…定期的に監査して、その結果も文書化しておく」が適切です。第7.0版（令和8年6月）経営管理編1.2.1は、通常時の説明責任（システムの機能や運用を必要に応じて患者等に説明する責任）を果たすため、機能仕様や運用手順等を文書化し、要求仕様や運用方針に則って機能しているかを定期的に監査して、その結果も文書化することを求めています。

インシデントが起きていないこの場面は通常時です。所管官庁への報告や公表は、1.2.2で非常時の説明責任に挙がる事項です。

説明窓口の確保は、インシデントの前から整える通常時の体制とされています。監査で見つかった問題への対応の記録は、院内に限らず第三者が妥当性を検証できる状態にするとされています。

監査は問題が覚知されたときでなく、定期的に行います。通常時の説明責任は「文書化・定期的な監査・結果の文書化・窓口」で備え、官庁への報告と公表は非常時の責任です。