セキュリティリスク分析を定義できず、HIPAAセキュリティルールを読んだことがなく、ビジネスアソシエイト契約に何を盛り込むべきかも知らない診療所オーナーであっても、完全かつ文書化された、証明可能なHIPAA準拠プログラムを運用することは可能です。専門知識は実務者の頭の中に存在する必要はありません。プログラムの中に存在すればよいのです。目的に応じて設計された準拠プログラムは、HIPAAが求める要件をコード化し、診療所オーナーが自らの診療所について持つ知識を、完全なコンプライアンス記録へと変換します。実務者がコンプライアンスの専門家になる必要はありません。必要なのは、自分たちのために構築された体系的なプログラムです。
HIPAAが実際に小規模診療所に求めていること
小規模で独立した診療所に対するHIPAAの要件は広範囲に及びますが、際限なく広がっているわけではありません。対象事業体としてのHIPAA準拠義務は、HHS公民権局(OCR)がどのような調査や監査においても確認する、4つの文書化された成果物に集約されます。
第一は、最新のセキュリティリスク分析です。セキュリティルールは、対象事業体が使用するあらゆるシステム、デバイス、業務フローについて、電子的な保護対象保健情報(ePHI)に対するリスクと脆弱性を正確かつ徹底的に評価することを求めています。このSRA(セキュリティリスク分析)は常に最新でなければなりません。2年前にSRAを完了させ、その後EHRシステムを変更したり、遠隔医療プラットフォームを追加したり、新しいスタッフを雇用したりした診療所は、評価が古くなっており、記録として残るギャップを抱えていることになります。
第二は、その診療所に合わせて作成された、書面によるポリシーと手順一式です。HIPAAプライバシールールとセキュリティルールはいずれも、該当する各基準に対応した書面ポリシーを求めています。汎用テンプレートではこの要件を満たせません。HHS公民権局は、診療所の実際の運用を反映していないポリシーを、コンプライアンスプログラムが書面上だけ存在し、実務としては存在していない証拠とみなします。
第三は、文書化された職員研修です。HIPAA研修の要件は、患者記録を直接扱わないスタッフも含め、全職員に適用されます。研修記録には、誰が研修を修了したか、何を扱ったか、いつ実施したかを示す必要があります。修了記録こそがコンプライアンスの証拠物件です。調査官が求めるのは記憶ではなく、文書です。
第四は、診療所に代わって保護対象保健情報を作成、受領、保管、または送信するすべてのベンダーとの、署名済みビジネスアソシエイト契約です。これにはEHRベンダー、請求代行サービス、クラウドストレージプロバイダー、文字起こしサービス、その他PHIにアクセスするあらゆる第三者が含まれます。有効な契約を結んでいないベンダーが関与する情報漏えいが発生した場合、過失の所在にかかわらず診療所は執行措置のリスクにさらされます。
これらは判断の余地や解釈の問題ではありません。診療所はこの4つすべてを文書化し、最新の状態で備えているか、いないかのどちらかです。OCRの調査官はそのすべてを要求してきます。
ほとんどの小規模診療所が気づかないギャップを抱えている理由
ほとんどの小規模診療所は、故意に非準拠の状態にあるわけではありません。研修を実施し、いくつかのポリシーを整備し、それで十分だと合理的に判断しているケースがほとんどです。その判断と実際のコンプライアンスとの間のギャップこそが、執行措置の発端となります。
小規模診療所を対象としたOCRの調査では、3つの特定の失敗パターンが一貫して見られます。
第一は、汎用テンプレートの問題です。テンプレートライブラリからダウンロードしたポリシーは、仮想の組織と仮想の業務フローを想定して書かれています。診療所の実際の受付プロセスや、固有のEHR構成、共有の臨床スペースでスタッフが口頭での情報開示をどう扱っているかは反映されていません。調査官がスタッフに業務フローの説明を求め、その回答が書面のポリシーと一致しない場合、そのプログラムは実施されていないものとみなされます。文書は存在していても、コンプライアンスプログラムは存在していなかったことになるのです。
第二は、一度きりのSRAの問題です。多くの診療所は、EHRベンダーやITプロバイダーの勧めもあって一度だけセキュリティリスク分析を実施し、それ以降見直していません。SRAは一度きりの義務ではありません。診療所の技術、物理的環境、サービス提供モデルに重要な変更があるたびに、再評価が必要です。以前のSRAの後に遠隔医療を導入した診療所には、元の評価ではカバーされていないギャップが生じています。OCRは現在、不完全または古いリスク分析を対象とした執行イニシアチブを継続的に実施しており、調査が始まった際に最初に要求される文書がSRAです。
第三は、部分的な実施の問題です。最新のSRAを伴わない研修は、部分的なコンプライアンスにすぎません。文書化された研修を伴わないポリシーも同様です。EHRベンダーとは署名済みのBAAがあっても請求代行サービスとはない場合も、部分的なコンプライアンスです。HIPAA違反の罰則は、部分的な努力を評価してくれません。OCRは診療所が完了させた要素に対して部分点を与えることはありません。プログラムは防御として機能するために完全でなければならず、調査でギャップが明らかになった場合、部分的なコンプライアンスは無コンプライアンスと同じ扱いを受けます。
コンプライアンスの専門知識とは実際には何であり、なぜプログラムがそれを担えるのか
コンプライアンスの専門家は、2人体制の歯科診療所と複数拠点を持つ行動医療グループとでは、どのようなセーフガードが適用されるかを把握しています。クラウドベースのEHRを使う診療所とオンプレミスサーバーを使う診療所とで、セキュリティリスク分析がそれぞれどのような質問に答える必要があるかも知っています。ベンダーとの取引関係が、診療所自身が評価していないPHI保管のリスクを生み出しているタイミングを見極められますし、HIPAA違反通知規則が、誤送信されたファックスとランサムウェア被害とではどう適用が異なるかも理解しています。
その知識は決して些細なものではありません。習得には何年もかかり、規制が変化するのに合わせて継続的な注意も必要です。ここでの主張は、その知識が重要でないということではありません。診療所オーナーがコンプライアンスに準拠した診療所を運営するために、その知識を個人として背負う必要はない、ということです。
目的に応じて設計されたコンプライアンスプログラムは、その専門知識をガイド付きのワークフローとしてコード化します。実務者は自分の診療所についての質問に答えます。拠点数はいくつか、どのシステムを使っているか、どのようなスタッフがいるか、どのベンダーを利用しているか、といった具合です。プログラムはそれらの回答を、診療所固有のセキュリティリスク分析、診療所固有のポリシー、役割ベースの研修割り当て、そして管理されたベンダー契約台帳へと変換します。実務者は自らの診療所についての知識を持ち込み、プログラムはHIPAAについての知識を持ち込む、という分担です。
これは理論上のモデルではありません。事前のコンプライアンス経験も専門のコンプライアンス担当スタッフもいない診療所が、この方法で完全かつ監査対応可能なプログラムを構築し、維持してきた実例があります。専門知識は実務者の中ではなく、プラットフォームの中に宿っているのです。
完全で診療所固有のコンプライアンスプログラムが生み出すもの
完全なコンプライアンスプログラムは、OCRの調査が要求してくる内容に直接対応する4つの成果物を生成します。
目的に応じて設計されたプログラムが生成するセキュリティリスク分析は、診療所の実際のシステム、拠点、業務フロー、ベンダー関係に合わせて作成されます。単一拠点の診療所には該当しない質問を回避し、実際に該当する脆弱性に焦点を当てます。そして、各脆弱性を特定し、リスクレベルを割り当て、是正措置とスケジュールを記録した、文書化されたリスク登録簿を生成します。対応するリスク管理計画を伴わないSRAは、調査官に対して「リスクは特定されたが放置された」というメッセージを伝えてしまいます。完全なプログラムはその両方を生成します。
プログラムが生成するポリシーと手順は、診療所自身のSRAの回答から構築されるため、実際の運用を反映したものになります。汎用的なものではありません。実際の業務フロー、実際のスタッフの役割分担、実際のシステム構成を記述したものです。調査官がスタッフに自分の役割を説明させ、その回答を書面のポリシーと照合したとき、両者は一致するはずです。目的に応じて設計されたプログラムは、その整合性を努力目標ではなく既定の状態にします。
プログラムが維持する研修記録は、個人単位でタイムスタンプ付き・役割別の割り当てとともに修了状況を文書化します。スタッフの入れ替わり、複数の入社日、さまざまな研修スケジュールも自動的に追跡されます。プログラムが生成するのは、調査官が求める文書そのものであり、後から取りまとめたスプレッドシートではありません。
ビジネスアソシエイト契約の台帳は、すべてのベンダー関係、各契約が締結された日付、更新見直しの期限を追跡します。誰も更新日を管理していなかったために契約が失効することは、OCRの調査における最も一般的な発見事項の一つです。自動リマインダー付きの管理された台帳は、この特定のギャップを解消します。
これら4つすべてを求められたときに提示できる診療所は、証明可能なプログラムを持っていることになります。それこそがOCRの調査が適用する唯一の基準です。
一部だけ実施することと、すべてを備えることの違い
完全なプログラムを整備することのコスト面での論拠は明快です。情報漏えいが一度発生すると、それに伴うコストの多くはほぼ固定されています。患者への通知、インシデント対応、風評被害、民事責任は、漏えいが確認された時点で発生します。文書化と誠実なコンプライアンスによって防げる唯一のコストが、政府による罰金です。
HIPAA民事罰は、過失の程度に応じて段階分けされています。合理的な理由に起因する違反は、故意の怠慢に起因する違反に比べ、最大罰金額が大幅に低く抑えられます。完全で文書化されたコンプライアンスプログラムは、どちらの区分が適用されるかを決定づける「合理的な理由」の証拠となります。小規模診療所にとって、この2つの区分の違いは数万ドルから数十万ドルの差になり得ます。事前の文書化によって防げるコストとは、この罰金なのです。
目的に応じて設計されたソフトウェアを通じて完全なプログラムを立ち上げるのに必要な時間は、数週間ではなく数時間単位で測られます。その後の維持管理も、診療所の変化に合わせてプログラムを最新の状態に保つために月あたり数分程度で済みます。この投資は、それによって排除できる規制上のリスクに比べれば、決して大きなものではありません。
部分的な実施では罰金は軽減されません。研修は完了しているものの最新のSRAを持たない診療所は、そのSRAのギャップが情報漏えいをきっかけとした調査で表面化した場合、何もしていない診療所と同じ「故意の怠慢」の認定にさらされます。プログラムのすべての要素が整備され、文書化され、最新の状態でなければならないのです。
コンプライアンスプログラムに求めるべきもの
すべてのHIPAAコンプライアンスソフトウェアが、完全で証明可能なプログラムを生み出すわけではありません。調査の際に診療所を守るプログラムと、防御力を伴わない単なる書類を生成するだけのプログラムを見分ける基準が3つあります。
第一は、テンプレートではなく診療所固有の生成であることです。プログラムは、ガイド付きの質問に対する診療所自身の回答から構築された、実際の診療所を反映した文書を生成しなければなりません。ポリシーライブラリやダウンロード可能なテンプレート集では、診療所は自分たち向けに書かれていない文書を実装し、維持し、更新しなければなりません。目的に応じて設計されたプログラムは、SRAからポリシーを生成し、診療所の変化に合わせて常に最新の状態を保ちます。
第二は、単一プランの中に完全なプログラムが含まれていることです。部分的なコンプライアンスはコンプライアンスではなく、SRA、ポリシー、研修管理、BAA追跡を別々のサービス階層や有料オプションの背後に置くようなプログラムは、診療所が埋めようとしているのと同じギャップを内部に作り出してしまいます。HIPAAが求めるすべての要素が、コストと完全性のどちらかを選ばせることなく含まれているべきです。
第三は、コンプライアンスの専門家へのアクセスです。ソフトウェアのワークフローは、SRA、ポリシー、研修記録、ベンダー契約といった構造化された成果物を処理します。しかし、その構造化されたワークフローの範囲外で発生する判断の必要な状況には対応できません。許容されない情報開示に該当するかどうか判然としない患者からの苦情に、診療所はどう対応すべきか。特定のクラウドストレージの取り決めが、SRAで対応すべきPHIの露出リスクを生み出していないか。特定のインシデントが、4要素の被害分析のもとで通知義務のある情報漏えいに該当するか。別料金ではなくプログラムに含まれる形でのコンプライアンス専門家への直接アクセスこそが、こうした状況をカバーします。異例の事態が発生した瞬間にコンプライアンスの専門家に相談できる診療所は、HIPAAへの対応を一人で背負っているわけではありません。それができない診療所は、まさに一人で背負っているのです。
調査が適用する基準
OCRの調査は、診療所オーナーがHIPAAについてどれだけ理解しているかを評価するものではありません。診療所が何を提示できるかを評価するのです。すなわち、最新のセキュリティリスク分析、実際の業務フローと一致する書面のポリシー、全職員分の研修記録、対象となるすべてのベンダーとの署名済みビジネスアソシエイト契約です。これらはいずれも文書です。規制に関する専門知識ではなく、プログラムによって生成されるものなのです。
SRAを定義できなくても、目的に応じて設計されたソフトウェアを通じてコンプライアンスプログラムを運用している診療所オーナーは、規制を隅々まで読んでいても、バインダーやスプレッドシートで手作業によりコンプライアンスを管理している診療所オーナーよりも、優れた文書を生み出すことになります。OCRが見ているのは努力ではありません。記録なのです。
プログラムは、実務者が自らの診療所について持つ知識に取って代わるものではありません。それが取り除くのは、実務者が連邦の医療情報法についての専門知識まで同時に背負わなければならないという要件です。その専門知識は、すでに組み込まれています。診療所オーナーの仕事は、質問に正確に答え、プログラムが示すガイダンスに従うことです。あとはプログラムが引き受けてくれます。
