Raramente un rischio significativo viene controllato da una sola misura. Il principio della difesa in profondità prevede più strati indipendenti, in modo che il fallimento di uno non porti automaticamente all'infortunio. La metafora del formaggio svizzero vista nel Modulo A rende bene l'idea: ogni strato ha dei buchi, ma è improbabile che i buchi di tutti gli strati si allineino nello stesso momento.
La combinazione deve rispettare la gerarchia: si parte dalle misure di livello più alto e si aggiungono le altre per coprire ciò che resta. Per il rischio chimico in un reparto di verniciatura una combinazione tipica comprende una vernice a minor contenuto di solventi, una cabina con aspirazione, la limitazione del personale presente, la procedura di miscelazione in area ventilata e, come ultimo strato, il respiratore con filtro adeguato.
Conta molto l'indipendenza tra gli strati. Due misure che dipendono dalla stessa persona, dallo stesso componente o dalla stessa fonte di energia possono fallire insieme. Se la cabina di verniciatura e l'allarme di mancata aspirazione sono alimentati dallo stesso interruttore, un'interruzione disattiva entrambi senza preavviso.
Va valutata anche l'affidabilità di ciascuno strato nel tempo: una misura tecnica senza manutenzione si degrada, una misura organizzativa senza verifica viene dimenticata. Il valore complessivo della combinazione non è la somma delle misure installate, ma la somma di quelle che funzionano davvero il giorno in cui servono. Le verifiche periodiche esistono proprio per accertarlo.