トピック6.4 — ガバナンスと保証

ガバナンスは、良い、速く、安全な判断を下す助けとなり、デジタルサービスが責任をもって運営されていることを、自分自身、取締役会、国民に証明するために存在します。したがって、納品への税ではなく、納品の実現手段として扱ってください。

医療・ケアにおいてなぜ重要か#

ほとんどのセクターでは、弱いガバナンスは、お金と評判を失わせます。医療・ケアでは、命を失わせ、不公平を定着させ、システム全体が拠って立つ国民の信頼を損ないえます。臨床システムへの、ガバナンスの不十分な変更は、誰かが気づく前に、用量の誤りを何千人もの患者に広げえます。統治されないデータの流れは、奉仕する最も脆弱な人々の守秘を侵害しえます。保証されていない稼働は、最もケアを必要とする人々を静かに排除するサービスをロックインしえます。賭け金の大きさが、「どう働くか」が、単なる効率ではなく、臨床安全、公平性、信頼の問題である理由です。

同時に、医療・ケアのガバナンスは、遅く、儀式的で、納品から切り離されているという、当然の評判を得ています。チームは、すでに下された判断を形式的に承認する取締役会に付き合い、誰も読まないひな型を埋め、レビューの前の週に琥珀色のリスクが緑に変わるのを見ながら、そのあと劇的に失敗するのを目にします。これが、解決しなければならない逆説です。答えは、より少ないガバナンスでも、より多いガバナンスでもありません。リスクと価値に応じて拡大縮小し、明確な人に明確な説明責任を与え、行動に移せるほど速く誠実な情報を生み出す、釣り合いの取れたガバナンスです。本トピックは、それをどう築くか、そして説明責任を負う人々と国民が、統制が実際に機能していると確信できるよう、その上に独立した保証をどう重ねるかを示します。本トピックは、トピック1.6 — 臨床安全とリスクマネジメント、トピック1.7 — 情報ガバナンス、データ保護、サイバーセキュリティ、トピック5.3 — EPPM、トピック10.4 — CEOと上級リーダーのための可視性と、密接につながっています。

中核概念#

ガバナンスは、組織が自らの行うことを指揮し統制する、意思決定権、説明責任、監督の仕組みです。デジタルヘルス・ケアでは、実際には、重なり合う三つのガバナンスの領域を同時に管理しています。コーポレートガバナンスは、財務、戦略、リスク、法的義務という、組織全体の取締役会によるスチュワードシップをカバーします。臨床ガバナンスは、医療機関が、ケアの質と安全を継続的に改善することに説明責任を負う枠組みです。情報ガバナンスは、組織がデータを、適法に、安全に、倫理的に扱う方法をカバーします。デジタルサービスは三つすべてに触れます。一つだけを統治すれば、他によって不意を突かれます。

単一点の説明責任は、良いガバナンスの背骨です。上級責任者（SRO）は、プログラムや主要なプロジェクトが、その目標を達成し、便益を実現することに、個人として説明責任を負う、名前のある一人の個人です。英国政府によって広まった役割ですが、普遍的に有用です。SROの下の意思決定権は、責任分担表、一般的にはRACI（実行責任者、説明責任者、相談先、報告先）の形式を通じて明示され、「誰もが、他の誰かが所有していると思っていた」と「誰もが所有しようとした」という、二つの古典的な失敗を防ぎます。

保証は、ガバナンスとは別のものです。ガバナンスは、指揮し決定する行為であり、保証は、ガバナンスと統制が、意図したとおりに実際に機能していることの、独立した客観的な確認です。支配的なメンタルモデルは、「3つの防衛線」です。第一線は、日々リスクを所有し管理する運用の管理者、第二線は、方針を定め異議を唱える監督の機能（リスク、コンプライアンス、臨床安全、情報ガバナンス）、第三線は、そのどちらからも独立して取締役会に報告する、内部監査です。外部の規制当局と監査人は、事実上の第四線を構成します。

さらに二つの概念が、システムを束ねます。リスク選好は、組織が目標を追求するなかで、進んで受け入れるリスクの量と種類です。それがなければ、エスカレーションは恣意的になります。そしてリスクログ、しばしば、リスク登録簿と同じ規律で築かれた、RAIDログ（リスク、前提、課題、依存関係）に拡張されたものは、納品を誠実に保つ、働く記録です。レビューの地点は、フェーズゲートのプロセスのような段階的な保証と、英国政府では、Infrastructure and Projects Authority（IPA）が運営するゲートウェイ形式のレビューによって提供されます。単一のプロジェクトのレベルを超えたところには、デジタル、臨床、財務、サイバー、運用のリスクを別々のサイロとして扱うのではなく、企業全体が目標を達成するのを止めうるリスクを特定し管理する、組織全体の規律であるエンタープライズ・リスクマネジメントがあります。

ベストプラクティス#

1. 説明責任のある一人のSROを指名し、本気でそうする。 成果に個人として説明責任を負い、判断を下す権限を持ち、説明責任を問えるほど長くプログラムにとどまる、十分に上級の一人の個人を任命します。その説明責任を、職務記述と目標に書き込んでください。説明責任を委員会に分散させたい誘惑に抵抗します。委員会は、助言し、集団で判断しますが、説明責任を負うことはできません。共有された説明責任は、不在の説明責任だからです。

2. ガバナンスを、カレンダーではなく、リスクと価値に合わせて設計する。 小さな、低リスクの内部ツールには、地域全体の電子患者記録と同じ取締役会、関門、書類は必要ありません。低リスクで低価値の仕事が、軽量なチームレベルのガバナンスを通り、高リスクまたは高価値の仕事が、正式な取締役会と独立したレビューを引きつけるよう、階層を設定します。チームが、自分がどの階層にいるかを知り、自分で手続きできるよう、閾値を公表します。釣り合いこそが、ガバナンスが、チームが回避するボトルネックになるのを防ぎます。

3. 意思決定権を明確にする職務規程を書く。 あらゆる取締役会には、その目的、構成員、定足数、下せる判断、勧告しかできないこと、それより上にエスカレーションしなければならないことを述べる、短い職務規程の文書が必要です。これをRACIと組み合わせ、繰り返し生じる判断の種類、つまりアーキテクチャの選択、臨床の承認、予算の解放、稼働の承認に、名前のある説明責任のある所有者がいるようにします。曖昧な意思決定権は、ガバナンスの漂流の、単独で最も一般的な原因です。誰が実際に「はい」と言えるかを誰も確信できないために、会議が増殖します。

4. 保証をガバナンスから分離し、3つの防衛線を使う。 プログラムを届ける人々が、それが安全だと保証する唯一の人々であってはなりません。第二線、つまり臨床安全責任者、情報ガバナンスのリード、サイバーセキュリティが、独立した声を持ち、必要なときにSROの頭越しにエスカレーションでき、内部監査が、システム全体を定期的にテストすることを確実にします。この分離が、楽観的な自己報告を、信頼できる保証に変えるものであり、ほとんどの医療システムで、単なる好ましさではなく、規制上の期待です。

5. 統合された保証と、段階的なレビューの地点を使う。 調整されないレビューを委託する代わりに、臨床安全、情報ガバナンス、技術、商務のレビューを、同じ判断の地点に整合させる、統合された保証と承認の予定を計画します。重要な移行点、つまりお金をコミットする前、構築の前、稼働の前に、IPAのゲートウェイレビューを手本にし、国民に面するデジタルサービスには、Government Digital Service（GDS）が先駆し、NHSが適応したサービスアセスメントを手本にした、ゲートウェイ形式のレビューを採用します。良い関門は、次のフェーズのリスクを下げる、支えとなる異議申し立てであり、ゲーム化される試験ではありません。

6. リスク選好を明示し、それにエスカレーションを動かさせる。 取締役会のレベルで、各領域、つまり患者安全、データ、納品、財務、評判で、どれだけのリスクを進んで負うかを合意し、チームが、特定のリスクが選好の内か外かを判断できるほど具体的に表現します。そのうえで、エスカレーションを選好に結びつけます。選好の外にあるものは、名前のある所有者と判断の期限とともに、自動的に上がります。これにより、些末なことが取締役会を詰まらせることと、深刻なリスクが表計算の中で静かに座っていることの、二つの失敗パターンが止まります。

7. 生きたRAIDログとBoard Assurance Frameworkを運営する。 納品のサイクルごとにレビューされ、各項目が所有され、日付が付けられ、採点され、積極的に対処される、古い琥珀色の項目の墓場ではないRAIDログを維持します。組織のレベルでは、主要な戦略的リスクを、存在する統制と、それらの統制が機能するという保証に対応づけ、希望に頼っているギャップを露わにするBoard Assurance Framework（BAF）を維持します。BAFは、取締役会が、最も重要な目標が、実際に守られているかを、1ページで見られるようにするものです。

8. 誠実に報告し、ガバナンスの芝居を止める。 悪い知らせを早期に表面化する率直な状況報告を主張し、それを提起する人々を守ります。「ウォーターメロン報告」、つまり外側は緑で内側は赤に注意してください。ダッシュボードは、失敗の瞬間まで緑のままです。保証の機能と納品のリードが、同じ事実について報告することで、これに対抗します。判断を変えない会議、ひな型、報告書は、やめてください。誰も行動に移さない文書を生むガバナンスは、慎重さではなく、勤勉さを装った無駄です。

9. リスクを、プロジェクトのレベルだけでなく、企業のレベルで管理する。 デジタル、臨床、財務、サイバー、運用のリスクを、それぞれのサイロで扱うのではなく、つなぐ、取締役会レベルの企業リスク登録簿と、書面のリスク選好の表明を持ちます。デジタルヘルスのサービスを実際に沈めるリスクの多く、つまりレガシーシステムの老朽化した環境、サイバー攻撃、単一のサプライヤーへの過剰な依存は、あらゆるプロジェクトを横断し、そのどれにも所有されないため、各横断的なリスクに、名前のある経営陣の所有者と、登録簿上の場所を与えます。これが、自分のプログラムがそれぞれおおむね軌道に乗っていることを知ることと、組織全体が選好の内にあるかを知ることの違いです。

10. 同じリスクを、弱めずに取締役会まで集約する。 3つの防衛線を結びつけ、納品チームが見たリスクが、各層で安心できる言葉に作り直されるのではなく、認識できる形で企業の登録簿まで上がるようにします。BAFと企業の登録簿は、その下の報告と同じだけ誠実です。琥珀色が、頂上へ向かう途中で緑になる、ウォーターメロン効果を防ぎ、単一のプロジェクトが所有しない、横断的なリスク、つまりレガシー、サイバー、サプライヤーの集中を、エスカレーションすることを日常にします。集約されて和らげられた数字しか見ない取締役会は、最も重要なリスクを統治できません。

チームで話し合うための問い#

1. 私たちの最も重要なデジタルの仕事で、単一点の説明責任が本当に明確なのはどこで、心地よい虚構なのはどこか。 上位三つの取り組みをたどり、それぞれについて、失敗したら、誰が個人として取締役会に答えるかを問います。誠実な答えが「取締役会」「プログラム」、あるいは変わり続ける名前なら、ギャップがあります。名前のあるSROが、その役割が求める権限と時間を実際に持っているのか、本物の判断が他の場所で行われている間の、お飾りなのかを試します。SROが、納品する人々を指揮できないマトリクスによって、説明責任が損なわれていないかを考えます。SROが異動するとき、継続性がどう守られるかを話し合います。組織再編のたびにリセットされる説明責任は、説明責任とは言えないからです。目的は、個人を責めることではなく、何かがうまくいかないとき、権限を与えられた一人が、それを正すことを所有することを確実にすることです。

2. 私たちのガバナンスは釣り合いが取れているか。それとも、低リスクの仕事に重いプロセスを適用し、その逆も行っているか。 現在の取締役会、関門、承認のステップを、そこを通るものの実際のリスクと価値に照らして描き出します。月に一度開かれる取締役会を6週間待った低リスクの変更と、チーム自身の判断ですり抜けた高リスクの臨床上の変更を探します。チームが、遅すぎるためにガバナンスを迂回していないかを問います。それ自体が、深刻なリスクのシグナルです。明確な階層と閾値を公表しているのか、念のためにすべてが最大の儀式へと既定になっているのかを考えます。より速く動くために、安全に判断を委任できるところと、危険なほど軽くなっているところを議論します。目標は、ガバナンスの重さが、リスクの重さに目に見えて従うシステムです。

3. 私たちの報告が真実を語っているか、どうやって知るか。 状況が、ほとんど警告なしに緑から赤に変わった、最近の具体的な例を話し合い、早期のシグナルは何だったか、なぜ表面化しなかったかを問います。納品のリードと保証の機能が、同じ事実から報告しているのか、別々の、都合よく乖離した版から報告しているのかを探ります。ここで赤の状況を報告する人に、社会的に、職業的に、何が起きるかを考えます。感謝されるのか、罰されるのか。取締役会が、経営陣自身の説明と並んで、独立した保証を見るのか、前者だけなのかを問います。ダッシュボードが、問題を予測するものを測っているのか、緑にしやすいものだけを測っているのかを調べます。目的は、誠実な悪い知らせが速く伝わる文化を築くことです。悪い知らせを聞けないガバナンスのシステムは、統治できないからです。

4. リスク選好を、チームが行動に移せるほど具体的に書き下ろしたか。それとも、スローガンか。 プログラムの一つの生きたリスクを取り上げ、それに最も近い人々が、述べられた選好から、それが線の内側か外側かを判断できるかを問います。ほとんどの組織には、読みやすいが何も決めない、リスク選好の表明があります。「リスクに対してバランスの取れたアプローチを取る」は、検出されないアレルギー表示の欠陥が許容できるかを、どの臨床家にも教えません。選好が、領域ごと、つまり患者安全、データ、納品、財務、評判ごとに表現されているかを話し合います。単一の全体的な数字は、臨床安全の欠陥にはゼロの選好、スケジュールの遅れには本物の選好を持ちうるという事実を隠すからです。エスカレーションが、実際に選好に結びついているか、つまり、選好の外にあるものが、誰かが提起することを選ぶことに頼らず、名前のある所有者と期限とともに自動的に上がるかを調べます。誰が選好を所有し、どのくらいの頻度で見直されるかを考えます。一度設定されて二度と見直されない選好は、現実の世界からずれていくからです。誠実な答えは、選好の表明が本当に形づくった、最近の判断を挙げ、表明が現在あまりに曖昧で効力がないところを認めます。

5. 私たちの関門と保証のレビューには、実際に牙があるか。それとも、失敗しているプログラムが、すり抜けているか。 最近のいくつかのゲートウェイやサービスアセスメントのレビューを振り返り、そのうちのどれかが、仕事を止め、一時停止し、あるいは実質的に作り変えたかを問います。あらゆるプログラムがあらゆる関門を通過したなら、関門はほぼ間違いなく芝居です。レビューが、次のフェーズのリスクを下げる、支えとなる異議申し立てとして扱われているのか、合格を確保するために証拠の資料が作り込まれる、ゲーム化される試験として扱われているのかを話し合います。臨床安全、情報ガバナンス、技術、商務の保証が、同じ判断の地点に届くのか、自信を加えずにチームを疲れさせる、調整されないレビューの散乱として届くのかを考えます。関門のレビュー担当者が、実際にどんな権限を持つかを調べます。稼働を止められるか、そうしたとき支持されるか、商務の圧力に覆されるか。納品する人々が、事実上、保証する人々でもないかを探ります。楽観主義者が運営する関門は、保証ではないからです。目的は、深刻な問題が生き延びられないレビューです。何も失敗しない関門は、背後に統制のないコストだからです。

6. 私たちを実際に沈めうるリスクのうち、単一のプロジェクトに所有されていないものはどれか。そして、誰がそれらを所有しているか。 デジタルサービスを止める可能性が最も高い失敗、つまりレガシーシステムの老朽化した環境、サイバー攻撃、単一のサプライヤーへの過剰な依存、新しいツールを運用できない労働力を挙げ、それぞれについて、誰の登録簿に載っているかを問います。これらの横断的なリスクが危険なのは、まさに全員に属し、したがって誰にも属さず、プロジェクトレベルのガバナンスの隙間に落ちるからです。デジタル、臨床、財務、サイバー、運用のリスクをつなぐ、取締役会レベルの企業リスク登録簿を持っているのか、それぞれがサイロの中で、他に盲目のまま管理されているのかを話し合います。納品チームが見たリスクが、認識できる形で取締役会まで上がるのか、取締役会が安心しか見なくなるまで、各層で、赤から琥珀色、緑へと和らげられるのかを考えます。各横断的なリスクに、プログラムをまたいで行動する権限を持つ、名前のある経営陣の所有者がいるかを調べます。誠実な答えは、各プログラムがおおむね軌道に乗っていることを知ることと、組織全体が選好の内にあるかを知ることの間のギャップに向き合います。

実践例：医療・ケアの事例#

ある統合ケアシステム（ICS）は、病院、一般診療、社会的ケアにまたがる臨床家が、各患者の統一されたビューを見られる、共有ケア記録を展開しています。それは、高価値で高リスクです。臨床上の判断に触れ、組織をまたいで機微なデータを結びつけ、デジタルアクセスの差が大きい人口にサービスを提供します。

早い段階で、説明責任は曖昧です。三人の最高情報責任者が、それぞれ部分的に責任を感じ、サプライヤーがスケジュールを動かし、18人のプログラムボードは、会議を、判断するのではなく更新を受け取ることに費やします。報告は緑です。そこでヒヤリハットが表面化します。あるシステムに記録された薬のアレルギーが、別のシステムで表示されず、臨床家が、患者がアレルギーを持つ薬を、あやうく処方しかけたのです。

最高経営責任者たちは、これを転換点として使い、ガバナンスを作り直します。プログラムを指揮する上級性と、サプライヤーに異議を唱える立場を持つ、最高医療責任者を、一人のSROとして任命します。取締役会の職務規程を書き直して、判断を下す人々に絞り込み、臨床安全の承認、情報ガバナンスの承認、稼働の承認に、それぞれ名前のある説明責任のある所有者がいるよう、RACIを付します。リスク選好が明示されます。検出されない臨床安全の欠陥にはゼロの選好、スケジュールの遅れには限定的な選好。その一つの表明が、すべてを並べ替えます。

保証は納品から分離されます。臨床安全責任者と情報ガバナンスのリードは、独立して報告し、SROの頭越しに最高経営責任者たちにエスカレーションでき、共有記録の仕事は、各パートナーのBoard Assurance Frameworkに加えられます。統合された保証の予定が、三つの関門、つまりさらなる構築の前、パイロットの前、全面展開の前を設定し、それぞれが、IPAのゲートウェイレビューとNHSのサービスアセスメントの精神で、臨床安全、情報ガバナンス、技術、アクセシビリティのレビューを組み合わせます。RAIDログは2週間ごとにレビューされ、アレルギー表示の欠陥は、固定された解決日を伴う、名前で所有される赤の課題として記録されます。

最初の関門は、居心地の悪いものです。レビューチームは、臨床安全ケースが、緑の報告が示唆したより薄いことを見つけ、展開は4週間一時停止されます。それは、古い報告が隠していた、まさにウォーターメロンでした。一時停止が、稼働後ではなくパイロットの前に起きるため、患者は傷つかず、サプライヤーはデータの対応づけを修正し、最終的な展開は、始まりが遅いものの、はるかに安全で、信頼されます。ガバナンスは、納品を遅らせたのではありません。納品を完全に止めていたであろう失敗を防いだのです。

セクター別の視点#

スタートアップ#

ヘルステックのスタートアップが、取締役会やゲートウェイレビューを必要とすることはまれですが、規制当局、購入者、投資家が尋ねるため、早期に本質的なものは必要です。臨床安全に説明責任を負う創業者または経営陣の一人と、データ保護に責任を負う一人を指名し、軽量なRAIDログを維持し、たとえ1ページでも、リスク選好を書き留めてください。罠は、ガバナンスをあとで取り付けるものとして扱うことです。急速に動くプロダクトにわたって、安全で適法な判断のエビデンスを後付けするのは、苦痛で、ときに不可能です。真剣なNHSの購入者が認める、最小限の実用的なガバナンスを築き、何もないところから一夜にして官僚機構へと急変するのではなく、自分とともに成長させてください。

小規模事業者#

確立した小規模の提供者、つまり一般診療所、地域薬局、介護施設、単独拠点のクリニックは、大きなトラストと同じ、臨床安全とデータ保護の法定の義務を、監査委員会も、内部監査もなく、それを運営する専任のIT職員もいないまま負います。ここでのガバナンスの規律は、徹底した釣り合いです。臨床安全に説明責任を負う一人と、情報ガバナンスに責任を負う一人（非常に小さな組織では、同じ上級臨床家やパートナーかもしれません）、1ページのリスク選好、そして、ファイルされるのではなく本当にレビューされる短いRAIDログ。規制当局がすでに期待する枠組み、つまりData Security and Protection Toolkit、CQCの要件、サプライヤーが満たさなければならない臨床安全の義務に頼り、ソフトウェアのベンダーの保証（DCB0129の安全ケース、認証）に、自分にはできない仕事をさせます。現実的な罠は、ガバナンスの芝居ではなく、ガバナンスの怠慢です。安全で適法な判断が、非公式に下され、決して記録されないため、インシデントや検査が来たとき、何を、なぜ決めたかを示せません。エビデンスの軌跡を、軽く、しかし本物に保ってください。小規模事業者にとっての目標は、人員を配置できないガバナンスの機械ではなく、わずかな予算での、擁護可能な判断だからです。

大企業#

大規模な提供者やサプライヤーには、すでに取締役会、監査委員会、内部監査があるため、大企業のリスクは、スタートアップの正反対です。ガバナンスが多すぎ、統合が悪く、芝居を生みます。重なる取締役会を統合し、釣り合いの階層を公表し、臨床、情報、技術、商務の保証を、単一の予定に統合して、チームが、十数の調整されないレビューではなく、一つの一貫した関門の集合に直面するようにします。3つの防衛線が本当に独立していること、内部監査が、財務だけでなく、デジタルの納品を定期的にテストすることを確実にしてください。賞は、既存の、高価なガバナンスの機械を、安全な判断を本当に加速するものに変えることです。

政府#

国と地域の機関、つまりNHS England、ICB、独立した機関は、法定の説明責任、公的支出の統制、IPAのゲートウェイレビューや政府の支出統制とサービスアセスメントのプロセスのような、正式な保証の体制のもとで運営されます。ここでは、SROの役割は成文化され、議会やそれに相当するものに個人として説明責任を負い、透明性は、選択ではなく義務です。規律は、この義務づけられたガバナンスを釣り合いの取れたものにし、多くの外部の保証への要求を整合させて、それらが、事後に監査するだけでなく、納品に情報を与えるようにすることです。うまく行えば、公共部門のガバナンスは、説明責任の模範になり、下手に行えば、セクター全体が恐れる「ガバナンスの芝居」の源になります。

よくある失敗パターン#

• 委員会による説明責任。 単一のSROがいないため、うまくいかなくなると、全員が横を指さし、何も所有されない。
• ガバナンスの芝居。 判断せずに受け取るだけの取締役会、誰も読まないひな型、本物のリスク低減ではなく、通過すべき試験である関門。
• ウォーターメロン報告。 悪い知らせが歓迎されず、納品の報告が保証に異議を唱えられないため、失敗の瞬間まで状況が緑のままである。
• 画一的なプロセス。 重いガバナンスが些末な仕事に適用され、チームにそれを回避させる一方、本当にリスクの高い仕事が軽く通り抜ける。
• 納品に囚われた保証。 サービスを構築する人々が、それが安全だと確認する唯一の人々であり、楽観がチェックされない。
• 古くなったRAIDログ。 一度記録されて二度と対処されないリスク。レビューの前に、下で何も変わらないまま、静かに緑に変わる琥珀色の項目。
• 領域への盲目。 納品をうまく統治しながら、危機になるまで、臨床安全、情報ガバナンス、公平性の側面を見落とす。
• 牙のない関門の芝居。 仕事を実際に止めたり作り変えたりしないレビューの地点で、失敗しているプログラムが、あらゆる関門をすり抜ける。

成熟度モデル#

チェックリスト#

• あらゆる主要な取り組みに、名前のある、十分に上級で、権限を与えられたSROが一人いる。
• 各取締役会に、意思決定権、定足数、エスカレーションを述べる、最新の職務規程がある。
• RACIが、繰り返し生じる判断の種類ごとに、名前のある説明責任のある所有者を割り当てている。
• ガバナンスの階層がリスクと価値に応じて拡大縮小し、閾値が公表されている。
• 3つの防衛線が整い、エスカレーションできる、独立した第二線の声がある。
• 統合された保証の予定が、臨床、情報ガバナンス、技術、商務のレビューを、段階的な関門に整合させている。
• リスク選好が領域ごとに書き下ろされ、エスカレーションがそれに結びついている。
• 生きたRAIDログが、納品のサイクルごとにレビューされ、すべての項目が所有され、日付が付けられている。
• Board Assurance Frameworkが、主要なリスクを、統制と、それらの統制が機能するという保証に対応づけている。
• 納品と保証が同じ事実から報告し、悪い知らせを提起することが安全である。
• 維持するあらゆる会議、ひな型、報告書が、本物の判断を変えている。

主要な情報源#

• Infrastructure and Projects Authority (IPA), Principles for Project Successとゲートウェイ／保証レビューのガイダンス — 英国内閣府 / HM Treasury。
• NHS England, Clinical Risk Management Standards (DCB0129とDCB0160) — 医療ITの臨床ガバナンスのため（トピック1.6も参照）。
• Institute of Internal Auditors (IIA), The IIA's Three Lines Model（2020年の更新） — 3つの防衛線のアプローチの権威ある表明。
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — 英国の公的機関におけるリスク選好、統制、保証。
• NHS England / 旧Government Digital Service, Service Standardとサービスアセスメントのガイダンス — 国民に面するデジタルサービスの保証。
• UK Corporate Governance Code — Financial Reporting Council — 取締役会の説明責任と内部統制。

参考文献#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management