Quali sono i requisiti minimi per un piano di gestione del rischio in un'azienda con rischio medio?