Quali sono i criteri per la definizione dei ruoli e delle responsabilità nel processo di gestione dei rischi?