Quali sono i criteri per valutare l'efficacia di un programma di gestione dei rischi medi e apportare eventuali miglioramenti?