残留リスクが許容レベルを超えている場合、その「リスク受容」を最終的に承認すべきなのは誰か。

リスクを受け入れるということは、万が一の損失を組織が被るということなので、説明責任を持つ適切な権限者（経営層）だけが承認できる。