リスク値3では対策と対応計画が必要となっているが、適切に管理策が講じられている場合、あらためて対策と対応計画は必要でしょうか。

基本、脆弱性ランクが1であれば、一度対策を取っている場合、脅威ランク及び脆弱性ランクに変化がなければ、同様の管理策を継続していくといった考え方となります。

よって、ご質問のような場合も、新たな管理策ではなく、同様の管理策を継続していくといった考え方で良いと思われます。

ちなみに、リスク値に関しては、組織の諸事情に合わせた決定によるため、御社のご都合にあわせて決められれば良いかと思います。