ソフトウェア開発において、コードの実行を伴わずにバグや脆弱性を探査する手法はどれか。

特定の脅威に対して、現在の対策（コントロール）を実施した後に残るリスクを何と呼ぶか。