The most significant risk associated with a new health records system that replaces a legacy system is data not being converted correctly, resulting in inaccurate patient records. Data conversion is the process of transferring data from one format or system to another. Data conversion is a critical step in implementing a new health records system, as it ensures that the patient data are consistent, complete, accurate, and accessible in the new system. Data not being converted correctly may cause errors, discrepancies, or losses in patient records, which may have serious implications for patient safety, quality of care, legal compliance, and privacy protection.
Staff not being involved in the procurement process, creating user resistance to the new system; the deployment project experiencing significant overruns, exceeding budget projections; and the new system having capacity issues, leading to slow response times for users are also risks associated with a new health records system implementation, but they are not as significant as data not being converted correctly. References: [ISACA CISA Review Manual 27th Edition], page 281.

Explanation/Reference:
Explanation:
The most effective method is to determine through code comparisons what changes have been made and then verify that they have been approved. Change control records and software migration records may not have all changes listed. Ensuring that only appropriate staff can migrate changes into production is a key control process, but in itself does not verify compliance.

IS監査担当者は、組織のソフトウェア開発ライフサイクル（SDLC）ポリシーに不備があることを特定しました。SDLCとは、ソフトウェアアプリケーションの計画、開発、テスト、および展開のプロセスです1。SDLCポリシーとは、SDLCプロセスを統制し、その品質、セキュリティ、およびコンプライアンスを保証するガイドラインと標準です2。SDLCポリシーの不備は、次のようなさまざまなリスクにつながる可能性があります。
* アプリケーションの機能、信頼性、またはセキュリティに影響を与える可能性のあるソフトウェアのエラー、バグ、または脆弱性3
* ソフトウェアの障害、遅延、または超過により、アプリケーションの提供、パフォーマンス、または顧客満足度に影響が生じる可能性があります。3
* 法的、規制的、または契約上の違反や罰則につながる可能性のあるソフトウェアの不適合3 SDLC ポリシーの不備を特定した後、IS 監査人が次に行うべきことは、監査対象者にその所見を伝えることです。監査対象者とは、監査の対象となる個人または組織であり、監査対象領域に責任を負っています4。この場合、監査対象者は、ソフトウェア開発マネージャー、プロジェクトマネージャー、または組織の上級管理職である可能性があります。監査対象者に所見を伝えることは、いくつかの理由から重要です。
* これにより、IS監査人は観察結果の正確性と妥当性を検証し、被監査者から追加の証拠や情報を収集することができます。4
* 監査対象者は、指摘事項に対して回答し、不備に対する見解、説明、または正当化を提供する機会を得る。4
* これにより、IS監査担当者は被監査企業と、欠陥の潜在的な影響、根本原因、および是正計画について話し合うことができる。4
* IS監査人と被監査者との間で協力的かつ建設的な関係が促進され、監査プロセスにおける透明性と説明責任が高まります。4 他の選択肢は、被監査者に観察結果を伝えるほど適切ではありません。監査報告書に調査結果を文書化するのは、被監査者とコミュニケーションを取り、観察結果を確定した後に行うべき後のステップです。ポリシーを承認した人物を特定することは、欠陥に対処する上で重要ではなく、特定の個人またはグループに責任や過失があることを意味する可能性があります。被監査者との間で通常のコミュニケーションでは解決できない深刻な意見の相違や対立がない限り、状況を主任監査人にエスカレートする必要はありません。したがって、選択肢Dが正解です。
参考文献：
* ソフトウェア開発ライフサイクルとは？ | PagerDuty
* ソフトウェア開発ライフサイクル（SDLC）ポリシー | StrongDM
* SDLCとは何か？最適なフェーズ、方法論、そしてメリットを明らかに - ケルトン
監査結果の伝達

Biometrics can be used to provide excellent physical access control.