Quali sono i passaggi per la realizzazione di audit interni per verificare la corretta gestione del rischio medio, secondo i moduli integrativi 3 e 4?