Gli orientamenti europei sulla valutazione dei rischi e la prassi italiana convergono su una sequenza di fasi che, pur con nomi diversi, segue la stessa logica. Si parte dall'analisi dell'organizzazione e del ciclo produttivo; si identificano i pericoli; si individuano i lavoratori esposti, singolarmente o per gruppi omogenei; si stima l'entità del rischio; si definiscono le misure di prevenzione e protezione; si redige il programma di miglioramento; infine si verificano l'attuazione e l'efficacia delle misure, chiudendo il ciclo con il riesame.
La sequenza è iterativa, non lineare. Durante il sopralluogo per identificare i pericoli può emergere che il ciclo produttivo descritto dall'ufficio tecnico è diverso da quello reale, e bisogna tornare alla prima fase. Una misura proposta, come l'installazione di una barriera fotoelettrica su una piegatrice, può introdurre nuovi pericoli legati a manutenzione e taratura, che vanno a loro volta valutati.
L'errore più diffuso è comprimere le fasi: partire direttamente da un elenco di rischi standard per settore e assegnare punteggi senza aver osservato il lavoro. Il risultato è un documento formalmente completo ma inutile, nel quale compaiono rischi inesistenti e mancano quelli specifici dell'azienda. Per un'impresa media una valutazione iniziale ben fatta richiede settimane di lavoro distribuito, non una giornata di compilazione. Aiuta fissare per ogni fase un prodotto verificabile: elenco dei documenti raccolti, mappa dei pericoli, tabella degli esposti, schede di stima, piano delle azioni.