カルテメーカーのペーパーレス運用について
カルテメーカーでは以前よりペーパーレスでの運用（電子保存）に対応していました。
電子保存を正しく行うには「技術的な方法」と「運用規定による管理」をバランス良く組み合わせて行う必要があります。上記マニュアルを記した頃は電子保存がまだ一般化していない時期であり「タイムスタンプ」を使った技術的な方法により電子保存を実現していました。
タイムスタンプを使った非改ざん性の証明（改ざんされていないことの証明）は現在においても最高レベルの証明能力を持っていますが、その分、コストがかかりますし取り扱いもやや面倒です。
しかし、昨今、インボイス制度の開始に伴い、会計データや領収書などの電子保存が一般的になり電子保存に必要な条件も緩和されてきました。医療界でも医療DXの促進が喫緊の課題となり対応が迫られており、脱紙カルテそして電子カルテへの移行が急務となっています。
そのような背景を鑑みると、ガイドラインの従った運用規定に従うことで、「タイムスタンプ」などの技術的な方法に頼らなくても電子保存が認められると判断しました。
そこでカルテメーカーでは電子保存に関連する機能を整理しました。今回はそれを解説していきます。
電子保存のレベル
カルテメーカーでは電子保存を次の３つのレベルで実装しています。
- 電子保存なし
- 電子保存
- タイムスタンプ有り電子保存
１の「電子保存なし」は、いわゆるカルテコンと同じで、カルテは電子保存しないで紙カルテに印刷して保存するモードです。訂正履歴等もなく、原本は紙に印刷したカルテです。
２の「電子保存」が新しく実装した電子保存のモードです。タイムスタンプを使わないでガイドラインに沿った運用方法を実装することで電子保存を実現しています。原本は電子的に保存されたデータとなります。
３の「タイムスタンプ有り電子保存」は従来の電子保存モードで、タイムスタンプとガイドラインに沿った運用方法を実装することで強力な証拠能力を持った電子保存を実現するモードです。
この記事では２の「電子保存」について詳しく解説していきます。
「電子保存」モード
カルテメーカーを電子保存モードにするには
環境設定（設定）のシステムページで、「修正履歴」の「修正履歴を記録」のチェックをし
同、電子保存ページの「電子保存」のチェックをつけます。端末ごとに「デフォルトユーザー」を設定しておくと便利です。なお、この電子保存ページを操作するには管理者権限のユーザーを登録し、「ロック」チェックをクリックし、その管理者権限で認証を受ける必要があります。
電子保存をするには
電子保存をするにはガイドライン（医療情報システムの安全管理に関するガイドライン 第6.0版）に従う必要があります。
このガイドラインは扱う範囲も大きく情報システムの知識がないと非常に難解なものですが、この中で電子保存に関係している部分を簡単に説明します。
電子保存は「真正性」「見読性」「保存性」の３つを確保することが基本です。
基本的な考え方は平成１１年（１９９９年）に出された診療録等の電子媒体による保存についてという最も古い文書の内容からそれほど変わっていません。１０年前に書いた記事ですけど、これは今でも有効です。
上記記事でも記していますが「見読性」「保存性」の確保はそれほど難しくはありません。いつでも読めるようにしておくとか、バックアップをしっかり取るといったような情報機器を扱ううえで基本的なことだからです。ただしセキュリティの面から言うとまた違う困難さがあるのですが、今回はそれに関しては言及しません。
残りの「真正性」の確保が難しいものとなります。カルテが改ざんされていないことを証明しなくてはいけないのですが、単純な電子データは一切痕跡を残さずにデータの修正が可能なため、その証明は悪魔の証明と同じで非常に困難です。
これの技術的なそして根本的な解決策は電子的な暗号化技術に立脚したタイムスタンプ、電子署名です。前者は「何時」からこのデータが存在し現在まで「修正されていない」ことを証明し、後者は「誰が」このデータを作成（保存）し「修正されていない」ことを証明します。これら方法であれば紙ベースより遥かに高い証拠能力で非改ざん性を立証できます。
しかし、ガイドラインでは医療情報の保存に関して、このようなタイムスタンプ、電子署名が必須とは言っていません。（古い紙カルテをスキャンして電子的データに変換して保存する際にはタイムスタンプと電子署名両方が必須です。）運用規定の管理の範囲内でも電子保存を認めています。
とはいっても単純な保存データでは上記のように証明は困難です。そこで複数の操作や相互依存するデータ構造などを組み合わせ、また人的な監査体制等を合わせて、いわば状況証拠を積み重ねることにより情報の正しさを担保するようにします。
ガイドラインではその具体的な対応が説明されています。電子保存をするのに必要な機能や操作は次のようなものです。
- 電子カルテシステムを使う人の識別、権限を明確にする。
- 保存あるいは作成者を明確にしたうえでの確定操作を行う。
- 更新履歴の保存
- 操作ログの保存
各項目ごとに説明します。
１．電子カルテシステムを使う人の識別、権限を明確にする
紙に印刷したカルテに記名あるいは署名が必要なように、電子保存をするには「誰が」カルテを作成したのかを明確にする必要があります。
また高度な個人情報を扱う電子カルテのため、利用する人の職域等によって扱える情報や操作を制限する必要もあります。カルテの入力や修正は医師、歯科医師に限るとか、一般事務は医療情報を見ることはできないとかです。これを「権限管理」といいます。
「権限管理」のための基本的な対応は、システムの利用開始時に「ログイン」操作を必須とすることです。一般的には起動時、接続時にログイン画面が表示され、そこにアカウント名とパスワードをいれて認証を受けることでシステムの利用が許可されます。なお、可能ならパスワード認証に追加して生体認証やICカードなどの他要素を追加した２要素認証が推奨されています。
アカウントには名前、IDコード、パスワード、職域、権限、勤務状況等の情報が紐付けられています。これらのアカウント情報は運用規定に従って適切に管理されなければなりません。アカウントの追加修正、パスワードの管理、退職に伴うアカウントの停止などを行う管理機能も必要です。
カルテメーカーでは電子保存モードにすると起動時にこのようなログイン画面が表示されます。自分のアカウントを選んでパスワードを入力することで操作が可能になります。
またアカウントは「ユーザー」マスタで管理します。アカウントは追加可能ですが削除はできません。保存した情報がアカウントと紐付けられているので退職したからといって削除してしまうと誰が保存したのかわからなくなるからです。代わりに勤務状態を管理し、アカウントが有効か無効かを管理します。
２．確定操作
カルテを入力後「確定操作」をする必要があります。インターフェース的には「確定」ボタンを押して必要ならパスワードを入れて認証するという一連の操作になります。
意味的には、紙カルテの印刷した時に記名押印するのと同じ意味です。入力（あるいは保存者）を明確にし、また保存した日付時刻を明確にします。
システム的には確定操作をした時点での情報が固定化されて保存されます。情報には確定操作をした人が誰か、操作をした日付と時刻等の付加情報も一緒に記録されます。
「カルテの記載」としてはこの確定操作までがカルテの記載ですので、遅滞なく記載しないといけないという療担規則に従って、確定操作は診療終了後一般的には当日中に行う必要があります。
カルテを確定後、修正、追加をした際にも「確定操作」が必要です。これは紙カルテで二重線を引き修正し、訂正印を押すことに相当します。
カルテメーカーでは右下の「確定」ボタンを押すことで、確定操作のダイアログが開くので、ここでアカウントを選びパスワードをいれることで確定します。確定するとカルテの未確定のマークが消えて確定状態になっていることがわかります。
３．更新履歴の保存
確定操作をした後に、カルテの修正、削除、追加を行う場合、修正、削除される前の情報を保存し、修正、削除、追加が誰により何時行われたかを記録、保存しなくてはいけません。紙カルテの修正で二重線を引き、修正前の記載がわかるようにするのと同じことを電子的にしないといけません。
上記のように、修正、削除、追加の後にも確定操作が必要です。確定操作をすることで、誰が何時修正したのかが明確になります。
また、このような更新履歴が簡単に確認できるような機能も必要です。
カルテの「修正」と「改ざん」はシステム的には区別できません。確定操作直後に誤りの気がついて修正することや、カルテの定期監査、レセプト整備時における修正は正当な行為であり「改ざん」ではありません。しかし、例えば個別指導になったとき、通知の到着後の修正は「改ざん」と認識される可能性が高くなります。更新履歴の保存は何時誰がなにをしたのかの記録が残り、それを元に客観的な判断材料を提供するものです。電子保存をする場合は、個別指導等の時にカルテを修正あるいは書き直すなどの行為は一切できないと認識したうえで日頃のカルテ整備をする必要があります。
カルテメーカーでは「訂正履歴」を選ぶことでこのような画面が表示されて更新履歴を確認することができます。
４．操作ログの保存
操作ログとは、電子カルテシステムに対して行った操作を逐一記録する機能です。ログには誰が何時どのような操作をしたかが時系列で記録され一連のシリアルナンバーが付与されます。
操作ログにはカルテの修正等の情報だけでなく、だれが何時ログイン、ログアウトしたのかとか、患者情報をだれが閲覧したのかとかさまざまな操作の記録が残るようになっています。
この操作ログは不正アクセス等を見つけ出す有力な情報となりますが、同時に、上記の更新履歴の情報の正当性を担保する重要な情報になります。
一般的な操作ログはシステム的に修正できないようになっていますし、OSレベルで時刻を改ざんするなどして修正履歴を修正しても操作ログにはシリアル番号が付加してあるので一部の修正はログ全体の修正が必要になり簡単には改ざんできません。これにより操作ログと更新履歴の間に矛盾がなければ不正操作による改善は行われていないという証拠にもなるのです。
カルテメーカーでは「ログ一覧」で操作ログ画面が開きます。
「タイムスタンプ有り電子保存」モード
アマノビジネスソリューションズとタイムスタンプ利用の契約し、必要なアプリをインストール後、環境設定（設定）の電子保存ページで「タイムスタンプ」のチェックをつけ、必要な設定を済ませるとこのモードになります。（詳細はオンラインマニュアルをご覧ください。）
このモードでは確定操作を行うとタイムスタンプを付与したカルテのpdfファイルが保存されます。このpdfファイルが原本となります。保存されたpdfファイルを開き、タイムスタンプのマークをクリックすると検証が行われ何時発行されて、改ざんされていないかどうかが報告されます。
この検証結果は裁判レベルでも通用するもので、強い証拠能力を持ちます。
このモードは必須ではありませんが、私のように電子カルテシステムの開発者である場合など、直接データベースを操作しデータを改ざん出来うる立場にある場合はこの方法で証明する必要があります。一般ユーザーではここまでの必要はないですが、個別指導や医療事故関連の裁判等で絶対に改ざんされていないことを証明したいと考える場合は、この方法を導入すると良いでしょう。
以上
歯科電子カルテシステム・カルテメーカー は利用料月額１６，５００円（税込）
MacとWinの両方で利用可能な電子カルテです。介護保険にも対応してます。
カルテメーカーの詳細はカルテメーカー・ホームページまで。
カルテメーカーを実際に動かしてみたいときは評価版をダウンロードできます。
