健康保険組合連合会 東京連合会様

－日頃健康保険にかかわるニュースを耳にしますが、会員組合ではどのような役割を担っているのでしょうか。また、東京連合会とのかかわりについて教えてください。

会員組合を取り巻く事業環境は目まぐるしく変わっており、近年、非常に業務負担が増えています。例えば2024年12月には保険証の新規発行が廃止されました。これに伴い、加入者からの問い合わせサポートや事務処理なども発生しています。また、2026年度からは子ども・子育て支援金の徴収が始まりますが、これは健保組合を通じて徴収されるものになるため、対応するための体制を各健保組合のなかで速やかに構築する必要があります。このように社会から健保組合に寄せられる期待は大変大きく、国民の安心な医療制度を守る立場として非常に責任のある業務を遂行する必要がある一方で、時代のニーズや国の制度に合わせた臨機応変な対応が求められています。東京連合会では、医療保険制度改革や適切な社会保障制度構築に寄与するべくさまざまな事業を行っていますが、そのなかでも私たちは会員組合の事業運営支援として、保健師による保健指導、女性や子どもに関する健康相談窓口事業の実施といった保健事業の推進や、会員組合が日々実行する適用給付のサポートをしています。ほかにも、健康企業宣言「銀の認定」「金の認定」^※2の事業を通じて健康優良企業を認定するなど、企業の健康づくりに貢献しています。
※2 健康企業宣言について

－共同監査の導入経緯や目的について教えてください。

もともと、健康保険組合では保険証の発行や給付金の手続きなどを主に実施してきましたが、少子高齢化に伴い医療費が増加し、財政を圧迫するようになったため、保険者機能の発揮による医療費の適正化に取り組むようになりました。また、マイナンバー制度の導入といった法改正対応など、事業が多様化・複雑化している状況に加えて国の方針などにより、業務自体の電子化が進んでおらず、加えて組合内部の人手不足問題に直面しています。このような事業環境の変化に伴い、事業の一部を外部委託する組合も増えてきました。しかしながら、日々加入者の重要な情報を取り扱う組合にとって個人情報管理は非常に重要なものであり、厚生労働省ガイダンス〈Ⅲ-５．安全管理措置、従業者の監督及び委託先の監督（法第23条～第25条）〉でも委託者の設置や委託先における個人データ取り扱い状況の把握や、委託先に対する厳しい管理・監督が求められています。また、ますますIT技術が発達し、クラウドサービス等を利用する機会も増えるなど、情報セキュリティリスクも変化しています。これらへ対応するためには高度な専門知識も必要となりますが、このようなリソースの確保や、具体的な監査手法に悩む会員組合も多いことから、そのサポートとして業務委託先における個人情報保護管理体制について共同監査を立ち上げました。共同とした理由としては、複数の会員組合が同じ事業者へ委託している場合、監査を共同で行うことで効率化できるからです。しかしながら、個人情報保護については個人情報保護法をはじめ、見るべきポイントが多数あり、どのような監査体制にしたらよいか分からないことから、JQAに相談することにしました。そこで個人情報保護法のみならずJIS Q 15001（個人情報保護）、ISO/IEC 27001（情報セキュリティマネジメントシステム）、ISO/IEC 27017（クラウドサービスセキュリティ）の視点など、さまざまな監査基準の知見を踏まえた上で組合独自の共同監査基準およびチェックシートを作成してもらいました。それを会員組合へ配布し、共同監査や業者選定時のスクリーニングとして利用してもらっています。

－監査内容や当日の状況、指摘事項について教えてください。

監査チェックシートは共通、組織・人的事項、物理的・技術的事項の3カテゴリー、全部で37の質問に分かれています。それぞれ監査で何を見るべきかまで記載しており、監査人に分かりやすい形式となっています。当日は共同監査を希望する会員組合の監査人が数十人集まり、用意したチェックシートに基づいてJQAの監査人が確認していく監査を一緒に行います。私たちも事務局としてすべての監査に立ち会います。チェックシートそのものがとても細かくできているのですが、ほかに気になる点があれば追加で独自に確認される方もいらっしゃいます。指摘事項については、基本的なところは抑えられている事業者がほとんどですが、法改正へのキャッチアップが遅れてしまっていることや、事故があった場合の報告手続き漏れに関する事項、事業継続体制に関する事項が整っていないことが多い印象です。事業継続については、BCPはつくっているものの、実際に稼働するかどうか、例えばデータ復旧を実際に行うことができるかといったアクションが不十分な場合があります。また、共同監査では情報セキュリティに関する事故の状況も確認しますが、監査プロセスのなかで「事故がありました」と報告を受けることもあります。いわゆる重大案件ではなかったものの、事故があった場合は、事故発生原因の追究状況、事故発生後の対応、再発防止策も確認しています。

監査で使用するチェックシートの一部

－共同監査のメリットはどのようなものでしょうか。

先述の通り、東京連合会は約590の会員組合がおり、1,000万人を超える加入者を抱える最大規模の支部ですが、会員組合の規模についてはばらばらで、50万人以上の加入者があるところもあれば数百人程度のところもあります。よって、小規模な会員組合では単体での監査が難しいこともあります。私たち東京連合会がこのような会員組合の委託先の共同監査を企画することで個別に委託先監査を行うよりも費用面をかなり抑えるだけでなく、監査手法や個人情報保護管理に関するラーニングの機会として活用していただけているかなと思います。また、いろいろな会員組合が一堂に会する機会ともなりますので名刺交換や情報共有といった交流の場にもなっています。ほかにも一般的な二者監査とは異なり、自分の目線における監査に留まらず、ほかの人の視点から複合的に監査を行えるというのが大きなメリットではないでしょうか。単体の会員組合だけでは見えてこなかった課題も見えてきます。受審側となる委託事業者のメリットとしては、監査の受審回数を大幅に減らせるということでしょう。もし20の会員組合がそれぞれ監査を行った場合、単純に考えて20回受審することになってしまいます。監査対応に追われて本業をおろそかにするわけにはいかないでしょうから、なかには積極的に共同監査を受審される事業者もあります。

－5年間ほど共同監査を実施してきましたが、変化は感じられていますか？

共同監査が立ち上がったころはまだ手探り状態で、どのようなやり方が良いのか日々模索していました。それは会員組合も同じで、当初は共同監査へどのように関与したら良いか躊躇されている様子もありましたが、年度を重ねるうちにすごく熱心にメモを取って聞いてくださっている方や積極的に発言される方も増え、より前向きに関与しようとしている会員組合も増えてきていると感じます。毎年共同監査を実施すること自体が、情報セキュリティに対する意識づけの効果を発揮しているのではないかと思っております。

－共同監査の課題は何ですか？また、今後の方針などをお聞かせください。

経緯でも述べたように、共同監査は個別の監査対応が難しい会員組合に向けて企画したものです。今後はそのような会員組合が自ら監査できるように、力量をつける研修等を通じたフォロー体制を充実させることが重要な課題だと考えております。2025年度は初めて共同監査希望の組合先着100名程度を対象にした監査人育成セミナーを開催しました。こちらはJQAのISO/IEC 27001審査やISO/IEC 27017審査なども手掛けている審査員の方にお願いし、監査の基本規格となるISO 19011（マネジメントシステム監査のための指針）をベースとしながら監査手法についてとても分かりやすく解説いただきました。また、クイズ形式で情報リスクの見つけ方や管理方法なども講義いただきました。来年度以降、さらにこの研修内容を充実させていければと思っております。また、長期的な課題としては今後の方針にもつながりますが、クラウドサービスの普及など、ICT（情報通信技術）が急速に発展するなかで、共同監査についても単なる個人情報の委託という観点だけでなく、このような時代の情勢に合った最新の内容に更新し続ける必要があります。情報セキュリティに関する動向や専門知識を組合全体と共有していくことが必要だと考えております。

－JQAではお客さまの課題に寄り添いながら継続的にサポートを行っています。共同監査で見えてきた課題に対し、より良い監査サービスや研修を提供してまいります。

左：東京連合会 常務理事 菅牟田 健一　
右：マネジメントシステム部門 理事 深尾 卓

監査人から

営業担当者から

取材日：2025年7月30日、8月20日、8月29日、9月9日