「セキュリティポリシー」において「例外(Exception)」を処理する方法として正しいものはどれか。

ビジネス上の必要性から基準を満たせない場合、代替策と共に公式に管理する必要がある。