Quali sono i criteri di valutazione utilizzati per determinare il livello di rischio medio in un'azienda?