L'art. 31 stabilisce che il datore di lavoro organizza il servizio di prevenzione e protezione prioritariamente all'interno dell'azienda o dell'unità produttiva, oppure incarica persone o servizi esterni costituiti anche presso le associazioni dei datori di lavoro o gli organismi paritetici. Gli addetti e i responsabili, interni o esterni, devono possedere le capacità e i requisiti dell'art. 32, devono essere in numero sufficiente rispetto alle caratteristiche dell'azienda e disporre di mezzi e tempo adeguati per lo svolgimento dei compiti assegnati.
Il ricorso a persone o servizi esterni è obbligatorio in assenza di dipendenti in possesso dei requisiti. Quando il datore di lavoro si avvale di un servizio esterno non è comunque esonerato dalla propria responsabilità in materia. Il servizio interno può essere integrato da competenze esterne per specifiche valutazioni, come una misura fonometrica, un'analisi ATEX o uno studio di rischio chimico.
La scelta ha conseguenze operative. Un RSPP interno conosce i processi, è presente ogni giorno, intercetta i problemi prima che diventino infortuni, ma può subire la pressione gerarchica della produzione. Un RSPP esterno porta esperienza trasversale e una maggiore indipendenza di giudizio, ma rischia di vedere lo stabilimento poche volte l'anno. In molte realtà medie la soluzione più efficace è un RSPP esterno affiancato da un ASPP interno, che garantisce continuità di presenza e raccolta dati, purché i compiti di ciascuno siano scritti e il tempo dedicato sia realistico.