貴社が提供しているシステムも、貴社が利用する外部サービスも、いずれも対象となります。

外部サービスの場合は、外部サービスがバックアップを保持しているケースもあります。
SLA(SLO)が公開されて入れば、それを確認することでリスク対応となり得ます。

また、「合意されたバックアップ方針」とは「バックアップを要しない」ことも方針となり得ます。
「要しない」となった場合には、その理由などが「コメント」や情報資産のメモに記載いただければ、各種レビューの際にスムーズです。