Oltre ai contenuti operativi, l'art. 30 richiede che il modello preveda, per quanto richiesto dalla natura e dimensioni dell'organizzazione e dal tipo di attività svolta, un'articolazione di funzioni che assicuri le competenze tecniche e i poteri necessari per la verifica, valutazione, gestione e controllo del rischio, nonché un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello. Deve inoltre prevedere un idoneo sistema di controllo sull'attuazione del modello e sul mantenimento nel tempo delle condizioni di idoneità, con riesame ed eventuale modifica quando emergono violazioni significative o mutamenti nell'organizzazione e nell'attività in relazione al progresso scientifico e tecnologico.
Il comma 5 contiene una presunzione: in sede di prima applicazione, i modelli definiti conformemente alle Linee guida UNI-INAIL del 2001 o al British Standard OHSAS 18001:2007 si presumono conformi ai requisiti dell'articolo per le parti corrispondenti. Nella pratica attuale il riferimento internazionale è la UNI EN ISO 45001, che ha sostituito lo standard britannico; il suo rapporto con il modello sarà trattato nel Modulo C. Per le piccole e medie imprese esistono procedure semplificate approvate con decreto ministeriale del 13 febbraio 2014.
Accanto al modello opera l'organismo di vigilanza previsto dal D.Lgs. 231/01, che ne controlla funzionamento e osservanza. Un modello copiato da un'altra azienda, mai aggiornato e senza flussi informativi verso l'organismo, in giudizio non regge: conta l'efficace attuazione.