La pianificazione si apre con un requisito generale: tenendo conto del contesto, delle parti interessate e del campo di applicazione, l'organizzazione deve determinare i rischi e le opportunità da affrontare per assicurare che il sistema raggiunga i risultati attesi, prevenire o ridurre gli effetti indesiderati e conseguire il miglioramento continuo.
Qui la norma introduce una distinzione che crea spesso confusione. Da un lato ci sono i rischi per la salute e sicurezza legati ai pericoli, cioè quelli che il RSPP valuta da sempre nel DVR. Dall'altro ci sono gli altri rischi per il sistema di gestione, cioè eventi che possono impedire al sistema di funzionare: la perdita dell'unico manutentore che conosce l'impianto di aspirazione, un software di scadenzario non aggiornato, la riduzione del budget, una fusione aziendale. Analogamente esistono opportunità per la sicurezza, come una nuova linea da progettare, e opportunità per il sistema, come l'integrazione con il sistema ambientale.
La pianificazione deve tener conto anche dei cambiamenti previsti, temporanei o permanenti, di organizzazione, processi e attività. Il punto chiave è non duplicare il DVR: i rischi da pericoli si gestiscono con la valutazione già prevista dalla legge, mentre per i rischi e le opportunità del sistema è sufficiente un registro snello che indichi evento, effetto, probabilità, azione e responsabile. Un registro di dieci righe ragionate vale più di cinquanta pagine compilate per un audit.