Quali sono i criteri utilizzati per valutare la gravità dei rischi a basso livello all'interno di un'organizzazione?