L'articolo 28, comma 2, del D.Lgs. 81/08 stabilisce che il DVR contenga il programma delle misure ritenute opportune per garantire il miglioramento nel tempo dei livelli di sicurezza, e l'individuazione delle procedure per l'attuazione delle misure da realizzare, nonché dei ruoli dell'organizzazione aziendale che vi debbono provvedere, a cui devono essere assegnati unicamente soggetti in possesso di adeguate competenze e poteri.
Questa ultima indicazione è spesso sottovalutata. Assegnare l'installazione di una nuova aspirazione al capo reparto, che non ha budget né autorità sugli acquisti, significa scrivere un programma destinato a restare sulla carta. Ogni azione dovrebbe indicare un responsabile reale, con nome della funzione, che disponga delle risorse necessarie, e una data di completamento.
Un programma efficace ha la forma di un piano d'azione: numero progressivo, rischio di riferimento, area o mansione, descrizione della misura, livello della gerarchia a cui appartiene, responsabile, scadenza, stato di avanzamento e modalità di verifica dell'efficacia. È uno strumento vivo, da aggiornare a ogni riunione periodica e ogni volta che un'azione viene completata o rinviata.
Il RSPP non è responsabile dell'attuazione delle misure, che compete al datore di lavoro e ai dirigenti, ma è la figura che meglio può monitorare il programma, ricordare le scadenze, segnalare i ritardi e raccogliere le evidenze di completamento. Un programma senza aggiornamenti da un anno è uno dei primi segnali che un ispettore coglie aprendo il documento.