情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち，適切なものはどれか。