説明
子会社として、現地の事業体は、国内で収集されたデータについて現地の法律を遵守する必要があります。上級管理職は、この法令遵守について責任を負います。ポリシーは内部的なものであるため、現地の法律に取って代わることはできません。さらに、組織が本社を置く国とは地域の規制が異なるため、グループ全体のポリシーがすべての地域の法的要件に対応することはありそうにありません。ローカルで収集された（およびデータプライバシー規制が異なる国に転送される可能性がある）データの場合、本社に適用される法律ではなく、ローカルの法律が適用されます。データプライバシー法は国ごとに異なります。

セクション：情報セキュリティガバナンス
Explanation:
セキュリティメトリクスを確認することで、上級管理職は組織のセキュリティ体制のスナップショットビューと傾向を把握できます。リスク評価ポリシーを確認しても、コントロールが実際に機能していることを確認できないため、選択肢Aは正しくありません。選択肢Bは正しくありません。セキュリティ投資の収益を確認することで、統制を実装する上でビジネス上の正当性が得られますが、統制自体の有効性は測定されないためです。ユーザーのアクセス権の確認はデータ管理者とデータ所有者の共同責任であり、管理の有効性を測定しないため、選択肢Dは正しくありません。