Definire il campo di applicazione significa stabilire con precisione dove il sistema si applica: quali siti, quali attività, quali prodotti e servizi. La norma chiede di considerare i fattori del contesto, le prescrizioni applicabili e le attività pianificate o svolte che hanno a che fare con il lavoro. Il campo di applicazione deve essere disponibile come informazione documentata.
La tentazione di alcune aziende è restringere il perimetro per semplificare la certificazione, per esempio escludendo il reparto manutenzione o le attività svolte presso i clienti. La norma consente di scegliere i confini, ma l'appendice A avverte che la credibilità del sistema dipende da questa scelta: escludere proprio le attività con i rischi più alti, o quelle affidate a terzi, svuota il sistema di significato e può indurre in errore le parti interessate.
Un esempio tipico riguarda le imprese di impiantistica. La sede, con uffici e magazzino, presenta rischi contenuti; i rischi veri sono nei cantieri e negli stabilimenti dei clienti dove i tecnici installano e riparano. Un campo di applicazione credibile include le attività di installazione e manutenzione presso terzi, con le relative interfacce con i committenti.
Il punto 4.4 chiede poi di stabilire, attuare, mantenere e migliorare il sistema, compresi i processi necessari e le loro interazioni. In pratica occorre una mappa dei processi che mostri come la sicurezza entra in acquisti, progettazione, produzione, manutenzione, risorse umane e gestione dei fornitori, invece di restare un processo isolato gestito da un solo ufficio.