Vol.1215 診療が止まった日の資金繰り ―機能強化加算のBCP要件化とクリニックの事業継続―

令和8年度診療報酬改定において、機能強化加算の施設基準に業務継続計画、すなわちBCPの策定が追加された。機能強化加算は許可病床数200床未満の病院または診療所を対象に初診料へ80点を上乗せする評価であり、かかりつけ医機能の体制整備を促す位置づけにある。今回、かかりつけ医機能をアウトカムで評価する方向への転換に伴い、要件が厳格化された形である。

具体的には、災害対応のためのBCPを策定し、計画に従って必要な措置を行い、定期的に見直すことが施設基準に明記された。2026年3月31日時点で機能強化加算の届出を提出済みの医療機関については2027年5月31日まで経過措置が設けられているが、新規に開業する医療機関はこの猶予の恩恵を受けにくい。開業準備の段階でBCPの雛形を用意しておくことが、実務上の要請となる。

あわせて注目すべきは、医療DX関連加算の再編である。従来の医療DX推進体制整備加算と医療情報取得加算が廃止され、電子的診療情報連携体制整備加算として新設された。初診時に施設基準に応じて15点・9点・4点、再診時に月1回2点が算定できるが、その算定要件としてサイバーセキュリティ対策の実施が組み込まれた。つまり令和8年度改定は、災害と情報セキュリティという2つの事業継続リスクを、いずれも診療報酬の要件として制度化したことになる。

「加算のため」という動機では計画は機能しない

ここで多くの院長が陥りやすい誤りを指摘しておきたい。施設基準を満たすためにBCPを作成するという動機で臨むと、文書は完成しても計画は機能しない。厚生労働省が公表している「医療機関（災害拠点病院以外）における災害対応のためのBCP作成の手引き」などを参考に体裁を整えることは可能であるが、そこで問われているのは書式ではなく、診療が止まったときに何をどの順序で判断するかという意思決定の設計である。

そもそも、なぜBCPが必要なのか。答えは臨床上の使命だけではない。財務上の理由がある。無床診療所の費用構造は固定費の比重が高い。人件費、テナント賃料、医療機器のリース料、電子カルテの保守料は、診療を行わなくても発生する。一方で収入は診療報酬という出来高であり、診療が止まればほぼゼロになる。加えて、診療報酬の入金は診療月からおよそ2か月後である。すなわち、診療が停止しても2か月間は過去分の入金が続き、その後に収入が途絶えるという時間差が生じる。この構造を理解していないと、危機の直後には資金があるように見え、対応が後手に回る。

医業収入が月900万円、固定費が月700万円の内科クリニックを想定する。仮に2週間の診療停止が生じた場合、失われる収入は約450万円である。しかしその影響が預金残高に現れるのは2か月後であり、その時点では既に通常診療に復帰しているため、危機感が薄れている。復旧費用、代替システムの導入費用、患者への通知費用が加われば、実質的な影響は500万円を超えうる。この金額を無利息で吸収できるかどうかが、BCPの実効性を測る最も現実的な物差しである。

 情報セキュリティは「病院の話」ではない

2023年4月1日施行の医療法施行規則改正により、サイバーセキュリティの確保は医療機関の管理者が講ずべき事項として明確に位置づけられている。にもかかわらず、規模の小さい診療所では「攻撃されるのは大病院であって自院は対象外である」という認識が根強い。

2026年2月に公表された神奈川県内の病院の事例は、この認識を改めさせるものであった。報道されている内容によれば、侵入経路は医療機器保守用のVPN装置であり、そこから院内ネットワークへ侵入され、約13万人分の患者情報と約1,700人分の職員等の情報が漏洩したとされる。さらに、ナースコールシステムに障害が発生し、患者対応に直結する設備にまで影響が及んだ。

この事例の要点は、狙われたのが電子カルテそのものではなく、保守用の通信経路であったという点にある。クリニックにも、電子カルテの遠隔保守、画像診断装置のリモートメンテナンス、レセプトコンピュータのオンライン更新といった外部との接続点が必ず存在する。院内が閉域網であるという説明を受けていても、保守経路が開いていれば閉域とは言えない。まず着手すべきは、自院のネットワークに外部から接続しうる経路がいくつあり、それぞれ誰が管理しているのかを一覧化することである。

同時に、ベンダーとの責任分界点を文書で確認しておく必要がある。保守契約において、脆弱性の修正、ログの保存、インシデント発生時の初動対応が、どこまでベンダーの責務でどこから医療機関の責務なのか。この確認を行っていない診療所は少なくない。丸投げは、有事において誰も責任を負わない状態を意味する。

なお、令和8年度改定における電子的診療情報連携体制整備加算のうち入院に係る加算1については、非常時にも診療を継続するために最低限必要な医療情報システムとして、電子カルテシステム、オーダリングシステム、レセプト電算処理システムが示され、これらのバックアップについて複数方式を組み合わせ、一部をオフライン環境で保管することが推奨されている。無床診療所に直接適用される要件ではないが、考え方としては規模を問わず妥当である。オンラインで同期されているだけのバックアップは、暗号化を伴う攻撃を受けた際にバックアップごと侵されうるからである。

診療科ごとに異なる「止まると困るもの」

事業継続計画を実効的なものにするには、自院にとって何が止まると診療が成立しないのかを特定することから始める。この優先順位は診療科によって大きく異なる。

消化器内科で内視鏡検査を実施している施設では、予約管理システムの停止が最も深刻である。前処置を要する検査は当日の振替が困難であり、予約情報が参照できなければ来院する患者の把握すらできない。予約台帳を日次で紙に出力しておくという原始的な備えが、実は最も費用対効果が高い。

整形外科では画像である。エックス線撮影装置本体が稼働していても、画像管理システムが停止すれば過去画像との比較ができず、診断の質が低下する。過去画像を外部媒体に定期的に書き出す運用があるかどうかで、復旧までの診療継続性は大きく変わる。

皮膚科および形成外科、あるいは日帰り手術を行う耳鼻咽喉科では、手術予約とそれに紐づく材料発注が論点となる。手術枠の情報が失われれば、患者と材料の双方の調整が同時に破綻する。小児科では、予防接種の接種歴が最重要である。接種間隔の管理を誤れば健康被害に直結するため、母子健康手帳という患者側の記録との突合を前提とした運用を、平時から意識しておく必要がある。

循環器内科では、抗凝固療法や心不全管理を受けている患者の処方内容が生命に直結する。処方情報については、電子処方箋管理サービスや電子カルテ情報共有サービスといった外部基盤への接続が進みつつあり、自院のシステムが停止した場合であっても情報を参照できる余地が広がっている。医療DXへの対応は加算のためだけでなく、事業継続の観点からも意味を持つ。

半日で作る最初のBCP

完璧な計画を目指すと、多忙な院長にとって着手そのものが遠のく。まずは半日で以下を決めることを勧めたい。誰が対策の責任者となり、不在時には誰が代行するのか。職員への連絡手段を院内システムに依存しない形でどう確保するのか。診療を継続する場合の紙運用の様式をどこに保管しておくのか。患者への案内を、電話、掲示、ホームページ、SNSのいずれで、誰が発信するのか。そして、システムの異常を検知した際、復旧を急いで再起動する前に、まずベンダーと警察のどちらに連絡するのか。

最後の点は特に重要である。汚染された状態のままバックアップを書き戻す、あるいは安易に再起動を行うことは、証拠の消失と被害の拡大を同時に招く。個人データの漏洩のおそれがある場合には個人情報保護委員会への報告が必要であり、所管の保健所を通じた報告も求められる。判断を有事に行おうとすれば必ず誤る。

資金面の備えについても触れておきたい。BCPは手順書であって、それ自体が資金を生むわけではない。診療停止に伴う損失を吸収する手段としては、当座の運転資金を厚めに保有しておくこと、金融機関との間に事前に当座貸越枠を設定しておくこと、そしてサイバー保険や休業補償を含む損害保険を検討することが挙げられる。とりわけ当座貸越枠は、平時に交渉すれば比較的容易に設定できるが、有事に申し込めば審査が長期化する。固定費の3か月分に相当する資金へ即座にアクセスできる状態を作っておくことが、実務上の目安となる。

もう1点、訓練の重要性を指摘しておく。手順書は読まれなければ機能しない。年に1回、30分でよいので、電子カルテが使えない前提での受付から会計までの流れを実際に通してみる時間を設けたい。紙の問診票はどこにあるか、処方箋の様式は印刷済みか、患者の過去処方をどう確認するか、会計はどのように計算するか。実際に試みれば、想定していなかった不備が必ず見つかる。この訓練は、機能強化加算の施設基準が求める「計画に従って必要な措置を行い、定期的に見直す」という要件への対応にもそのまま該当する。書類の整備と実効性の確保を同時に満たす、最も効率的な方法である。

BCPは、加算のための書類ではなく、院長の意思決定を平時のうちに済ませておくための道具である。2027年5月31日という経過措置の期限は、まだ先のことのように見える。しかし災害も攻撃も、経過措置の期限を待ってはくれない。