医療・介護・ヘルスケアの委託先管理｜法令・ガイドラインの要求と実務の確認項目

医療・介護・ヘルスケアの現場は、
清掃、給食、リネン、ITシステムの運用など、多くの外部委託によって支えられています。

一方で、委託先を「任せっぱなし」にできない分野でもあります。

医療法には委託基準が定められた業務があり、個人情報の委託には監督義務が伴います。
事故が起きたとき、説明責任を問われるのは施設側です。

この記事では、医療・介護・ヘルスケア分野の外部委託管理について、法令・ガイドラインが求めていること、分野別の確認項目、実務での運用方法を解説します。

外部委託管理とは、
業務を委託した事業者が、契約や法令、施設のルールに沿って業務を行っているかを、委託元である施設側が確認し続ける取り組みです。

医療・介護の分野でこれが重要になる理由は、明確です。

衛生状態、食事の安全、システムの稼働が、
そのまま患者・利用者・入居者の安全と生活の質に直結すること。

そして、外部の受託事業者が関わっていても、
管理責任と説明責任は最終的に施設側に問われることです。

「何を確認していたのか」を説明できない状態は、
それ自体がリスクになります。

医療・介護分野の委託先管理には、一般の企業とは異なる特徴があります。
法令や公的なガイドラインが、具体的な要求を定めている点です。

病院・診療所等が特定の業務を委託する場合、医療法第15条の3と関係政省令により、基準に適合する事業者に委託することが義務づけられています。

対象となるのは、検体検査、医療機器等の滅菌消毒、患者給食、患者搬送、医療機器の保守点検、寝具類の洗濯、院内清掃などです。

これは推奨ではなく法律上の義務です。
行政対応や施設側の説明責任にも関わるため、委託先がこの基準に適合しているかどうかは、契約前に確認しておく必要があります。

個人情報保護委員会と厚生労働省が共同で策定した「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成29年4月14日、令和8年4月一部改正）は、個人データの取扱いを委託する場合の委託先の監督について具体的に示しています。

注目したいのは、対象が情報システムに限らないことです。

ガイダンスでは、検体検査、食事の提供、施設の清掃、医療事務など、委託を受けた事業者にも安全管理措置が求められるとしたうえで、委託元の施設側には、ガイダンスに沿った対応を行う事業者を委託先として選定すること、そして委託先における個人情報の取扱いを定期的に確認することを求めています。

契約時に一度確認して終わり、では要求を満たせない構造になっています。

電子カルテをはじめとする医療情報システムの委託については、厚生労働省の「医療情報システムの安全管理に関するガイドライン」が指針になります。
現在は第7.0版が公表されており、概説編のほか、経営管理編、企画管理編、システム運用編、保守委託機関編に分かれて示されています。

外部サービスや保守委託機関を利用する場合は、委託先の選定、契約内容、責任分界、運用中の安全管理を確認する必要があります。

医療法の委託基準のように法律上の義務であるものと、ガイドラインとして対応が求められるものは、性質が異なります。

ただし実務上は、どちらも
「委託先の状態を確認し、その記録を残す」
という同じ作業に行き着きます。

法的な位置づけを把握したうえで、確認の仕組みは共通で持つのが現実的です。

• 医療法の委託基準への適合（対象業務の場合）
• 衛生基準と作業手順が共有されているか
• 食材管理・アレルギー対応の体制（給食の場合）
• 事故時の連絡体制と責任者
• 人員体制の安定性、再委託の有無

日常的に回っている業務ほど、確認が形骸化しやすい領域です。

「問題が起きていない」ことと
「安全に管理できている」ことは、
別物として扱う必要があります。

• 医療情報システムの安全管理ガイドラインへの対応状況
• 個人情報・診療情報の取り扱いルールと権限管理
• 障害発生時の対応フローと責任分界点
• バックアップ・復旧体制
• 再委託先の管理状況

ITは施設側から見えにくい分、
「確認していないこと自体」がリスクになります。

専門知識がなくても確認できるよう、質問を定型化しておくことが重要です。

介護事業者やヘルスケアサービス事業者も、個人情報ガイダンスの対象です。

訪問系・居宅系のサービスでは、送迎、給食、記録システム、請求事務など委託の範囲が広く、利用者情報が委託先に渡る場面も多くなります。

規模が小さい事業所でも、個人データの委託がある以上、委託先の確認は避けて通れません。

確認項目の作り方は、取引先評価チェックリストとは？委託先管理で確認すべき項目と運用方法も参考になります。

医療・介護の現場で委託先管理が続かない理由は、おおむね共通しています。

第一に、「専門外だから分からない」で止まることです。
ITは分からない、給食は業者任せ、清掃は現場任せ。
この状態では、何を確認すべきかが定まりません。

第二に、契約時の確認で止まることです。
契約締結時に一度確認し、その後は更新時まで見直さない。
しかし委託先の実態は、人が変わり、体制が変わり、業務内容も少しずつ変わっていきます。

第三に、確認した記録が残らないことです。
口頭やメールで確認していても、後から「いつ・誰が・何を確認したか」を示せなければ、説明責任は果たせません。

分野ごとの確認項目をチェックシートの形にしておくと、専門知識のばらつきに関わらず、最低限の確認水準を揃えられます。

判断を担当者個人の経験ではなく、
業務の仕組みとして残すための道具です。

担当者の異動や退職が珍しくない現場ほど、この効果は大きくなります。

個人情報ガイダンスが求める「定期的な確認」を実務に落とすなら、年1回、契約更新時、体制変更時など、確認のタイミングをあらかじめ業務として決めておくことです。

年1回の確認で何を見るべきかは、委託先管理は年1回で足りる？AI・SaaS・再委託の変更確認を解説で扱っています。

確認して終わりではなく、回答の内容を誰が確認し、どう判断したかを記録として残します。

不十分な点があれば、何を条件に継続するのかを明確にし、次回の確認でその状態を見直します。

マモリスのようなチェックシート運用のためのツールでは、委託先への依頼、回収、確認、差し戻し、記録の保管までを1つの流れとして扱えます。
回答する委託先側はログイン不要のURLで回答できるため、清掃・給食事業者のようにITツールに慣れていない委託先にも依頼しやすい形です。

Excelとメールで管理が回っているうちは、それで問題ありません。
委託先の数が増え、確認の抜けや記録の散逸が起き始めた段階で、仕組みを見直す順番で十分です。

医療・介護・ヘルスケア分野の外部委託管理は、コストや品質の話にとどまらず、法令・ガイドラインへの対応と、患者・利用者への説明責任に関わる業務です。

医療法の委託基準は法律上の義務として、
個人情報ガイダンスの委託先の監督は定期的な確認の要求として、
それぞれ実務に落とす必要があります。

ガイドラインへの対応を確認業務としてどう進めるかは、ガイドライン準拠チェックの進め方もあわせて参考にしてください。

外部に任せている業務だからこそ、
任せ方を仕組みにする。

それが、この分野の委託先管理の出発点です。

Q1. 医療機関の委託先管理は法律上の義務ですか？

業務によって異なります。検体検査、滅菌消毒、患者給食、寝具類洗濯、院内清掃などは、医療法第15条の3と関係政省令により、基準に適合する事業者への委託が義務づけられています。また、個人データの取扱いを委託する場合は、個人情報保護法に基づく委託先の監督が必要です。それ以外の業務はガイドライン等での対応が中心になりますが、事故時の説明責任は業務の種類を問わず施設側に生じます。

Q2. 委託先の確認はどのくらいの頻度で行うべきですか？

個人情報ガイダンスは委託先の取扱状況を定期的に確認することを求めていますが、頻度の一律の定めはありません。実務では、年1回の定期確認を基本に、契約更新時や委託先の体制変更時に追加で確認する運用が一般的です。

Q3. 小規模な診療所や介護事業所でも必要ですか？

規模による適用除外はありません。個人データの委託があれば委託先の監督は必要ですし、医療法の基準対象業務を委託していれば基準適合の確認が必要です。小規模な事業所ほど、確認項目を絞った簡易なチェックシートから始めるのが現実的です。

Q4. 委託先が確認に協力してくれない場合はどうすればよいですか？

まず、確認の根拠（ガイダンスや契約条項）を示して依頼することです。契約に委託先の報告義務や監査への協力を定めておくと、依頼の土台になります。回答の負担を下げる工夫（設問を絞る、記入例を付ける、回答しやすい形式にする）も、協力を得るうえで実務的に有効です。