信息系统审计师发现业务用户的密码控制配置设置得比IT开发人员更严格。信息系统审计师最应采取以下哪项行动？

信息系统审计师发现业务用户的密码控制配置设置得比IT开发人员更严格。信息系统审计师最应采取以下哪项行动？
A、确定是否违反政策并进行记录。
B、记录观察到的异常情况。
C、建议全部使用相同的密码配置设置。
D、建议定期审查IT开发人员访问日志。
正确答案：确定是否违反政策并进行记录。