情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち，適切なものはどれか。

なぜ違う: リスク保有を選択したリスクも組織に残るため，残留リスクから除外されるとはいえない。

なぜ違う: 未特定であることを理由に，組織に残るリスクが存在しないことにはならない。残留リスクの説明として不適切である。

なぜ違う: 活動を行わないことで回避したリスクは，その活動から生じる対応後の残留リスクとは区別される。

リスク対応によってリスクを低減，移転，回避などしても，完全には除去できずに残る場合がある。この対応後に残るリスクを残留リスクという。残留リスクが組織の受容基準内かを評価し，必要なら追加対応を検討する。