Secondo l'articolo 29, comma 1, il datore di lavoro effettua la valutazione ed elabora il documento in collaborazione con il responsabile del servizio di prevenzione e protezione e con il medico competente, nei casi in cui è prevista la sorveglianza sanitaria ai sensi dell'articolo 41. L'articolo 33 coerentemente attribuisce al servizio di prevenzione e protezione il compito di individuare i fattori di rischio, valutare i rischi e individuare le misure, sulla base della specifica conoscenza dell'organizzazione aziendale.
Il medico competente porta nella valutazione elementi che il tecnico non possiede: la conoscenza degli effetti sulla salute degli agenti di rischio, i dati anonimi e collettivi della sorveglianza sanitaria, le segnalazioni di disturbi muscolo-scheletrici ricorrenti in un reparto, le limitazioni di idoneità che indicano dove il lavoro pesa di più. L'articolo 25, comma 1, lettera a gli assegna espressamente il compito di collaborare con il datore di lavoro e con il servizio alla valutazione dei rischi.
Nella pratica la collaborazione funziona quando è pianificata: un incontro iniziale per condividere il perimetro, sopralluoghi congiunti nei reparti più critici, uno scambio sui protocolli sanitari che devono derivare dai rischi valutati e non da modelli standard. Un errore frequente è chiamare il medico solo a documento finito per la firma: il protocollo sanitario risulta allora scollegato dai rischi reali e le visite si moltiplicano o mancano proprio dove servirebbero.