Il requisito 6.1.2.2 chiede di valutare i rischi derivanti dai pericoli individuati, tenendo conto dell'efficacia dei controlli esistenti, e gli altri rischi legati al sistema. La norma non impone un metodo specifico: chiede che la metodologia e i criteri siano definiti in modo da essere proattivi e non reattivi, applicati in modo sistematico, e che siano conservati come informazione documentata.
Per un'azienda italiana la risposta naturale è il documento di valutazione dei rischi previsto dagli artt. 28 e 29 del D.Lgs. 81/08. Il DVR, se ben fatto, soddisfa gran parte del requisito. Ciò che il sistema aggiunge è la gestione nel tempo: criteri espliciti per decidere quando aggiornare, collegamento con le non conformità e gli incidenti, verifica che le misure dichiarate esistano davvero in reparto.
Il 6.1.2.3 chiede inoltre di valutare le opportunità per migliorare la prestazione, per esempio adattando il lavoro e l'ambiente ai lavoratori o eliminando pericoli in occasione di modifiche pianificate.
Un errore frequente nelle verifiche è trovare un DVR con una matrice probabilità per danno compilata con cura, ma senza alcun legame con il resto del sistema: gli obiettivi annuali non citano i rischi con punteggio più alto, il programma di audit non visita le aree critiche, le non conformità non portano a rivedere la valutazione. Il RSPP che lavora in ottica di sistema usa invece la valutazione come motore: ogni rischio non accettabile genera un'azione con scadenza, ogni azione chiusa genera una verifica di efficacia.