Quali sono i requisiti minimi per un efficace sistema di gestione del rischio medio?