Nel 2014 le Sezioni Unite, decidendo il caso del rogo nello stabilimento ThyssenKrupp di Torino, hanno elaborato un criterio che oggi guida tutta la materia: garante è colui che gestisce il rischio. L'individuazione del responsabile parte dall'area di rischio in cui l'evento si è verificato e dalla domanda su chi aveva i poteri e i doveri per governarla.
Questa impostazione ha due conseguenze. Primo, la responsabilità segue i poteri effettivi: il dirigente di stabilimento risponde dei rischi operativi del suo sito, mentre le scelte strategiche, come destinare o negare risorse per la prevenzione incendi di una linea, rimangono al vertice. Secondo, le aree di rischio possono essere diverse anche all'interno dello stesso processo: il fabbricante governa il rischio progettuale della macchina, il datore di lavoro quello di utilizzo, il manutentore esterno quello dell'intervento.
La stessa sentenza è importante anche perché ha tracciato il confine tra colpa cosciente, in cui l'agente prevede l'evento ma confida di evitarlo, e dolo eventuale, in cui lo accetta come prezzo della propria scelta. In quel caso fu esclusa la sussistenza del dolo eventuale per l'amministratore delegato, ma il principio resta: decisioni consapevoli di rinviare misure su rischi gravi e noti espongono a valutazioni particolarmente severe. Per il RSPP, l'idea di gestione del rischio è anche un criterio pratico per costruire il DVR per aree, associando a ciascuna il soggetto che ne governa le misure.