Quali sono i requisiti minimi per la valutazione dei fornitori e dei subappaltatori in relazione al rischio medio?