Un sistema di gestione per la salute e sicurezza sul lavoro è l'insieme di elementi correlati o interagenti di un'organizzazione, cioè politica, obiettivi, processi, ruoli, risorse e controlli, con cui l'impresa stabilisce cosa vuole ottenere in materia di prevenzione e come intende ottenerlo. La norma UNI ISO 45001 indica come risultati attesi il miglioramento continuo delle prestazioni, il rispetto delle prescrizioni legali e il raggiungimento degli obiettivi di salute e sicurezza.
L'adozione di un SGSL è volontaria. Nessun articolo del D.Lgs. 81/08 impone di certificarsi secondo una norma tecnica. Tuttavia il decreto definisce il sistema di gestione all'art. 2, comma 1, lettera dd, e lo richiama all'art. 30 come base per i modelli di organizzazione e gestione con efficacia esimente ai fini della responsabilità amministrativa dell'ente. Volontario, quindi, non significa irrilevante: il sistema produce effetti giuridici ed economici concreti.
È utile distinguere tre livelli che spesso vengono confusi. Il primo è il sistema realmente applicato, cioè come l'azienda lavora ogni giorno. Il secondo è il sistema documentato, cioè manuali, procedure e registrazioni. Il terzo è il sistema certificato, verificato da un organismo terzo accreditato. Un'azienda può avere un ottimo sistema non certificato, oppure un certificato appeso in reception con procedure che nessuno segue. Al RSPP interessa prima di tutto il primo livello: la documentazione e il certificato hanno valore solo se descrivono ciò che accade davvero nei reparti.