风险识别及对应措施中,对一般风险有必要采取措施降低风险?还是用目标指标来管控也行?

ISO9001:2015 风险和机遇应对

一般风险有必要采取措施降低风险?还是用目标指标来管控也行?
从公司的经营角度/老板的立场上说,降低风险/持续改进是永远的课题吧
但外审老师提出了一个问题,一般风险按照采取措施就一定能降低风险吗?
即然不能肯定的降低,是不是考虑用目标来监控?