J.3 計画

リスクへの対応手順を内部規程に文書化し、実施し、適宜見直します。アセスメントの結果を踏まえ、指針や会社が決めた対策を含む対応策を作り、計画に落とします。計画と実施内容は、原則としてトップの承認を得て、記録を残します。対策後に残るリスク（残留リスク）は、「受け入れてよいリスク」ではなく、対応を続けるべき部分です。不正な取得や利用などに関するリスクは、残留リスクにできません。
たとえば、持ち出しのリスクには「持ち出し禁止のルール」「持ち出し簿」「パスワード付きのUSB」などの対策を決めます。対策を決めたら、担当者と期限もあわせて決めておくと、実行が進みやすくなります。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.3.1.4を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。