La norma chiede all'alta direzione di assegnare e comunicare responsabilità e autorità per i ruoli pertinenti all'interno del sistema, a tutti i livelli, documentandole e mantenendole. Precisa inoltre che i lavoratori a ogni livello sono responsabili degli aspetti del sistema su cui hanno controllo, e che l'alta direzione conserva comunque la responsabilità complessiva.
In Italia questo requisito si innesta su un organigramma della sicurezza che la legge già disegna: datore di lavoro, dirigenti, preposti, lavoratori, RSPP, medico competente, RLS, addetti alle emergenze. Il sistema di gestione non sostituisce queste figure ma chiede di rendere esplicito chi fa che cosa nei processi. Un mansionario della sicurezza o una matrice delle responsabilità, con attività in riga e ruoli in colonna, è lo strumento più diffuso: per ogni attività si indica chi esegue, chi approva, chi deve essere consultato e chi informato.
Va prestata attenzione alla coerenza con le deleghe. Se un dirigente ha ricevuto una delega di funzioni ai sensi dell'art. 16, la matrice deve riflettere i poteri di spesa e organizzativi effettivamente conferiti; se un preposto è stato individuato ai sensi dell'art. 18, comma 1, lettera b-bis, i suoi compiti di vigilanza devono comparire nelle procedure.
La norma prevede anche ruoli di sistema senza corrispondenza nel decreto, come il rappresentante della direzione o il responsabile del sistema di gestione. Spesso questi compiti vengono affidati al RSPP: è possibile, purché sia chiaro che l'autorità decisionale resta in capo alla direzione.