Dopo aver identificato rischi, opportunità, prescrizioni e situazioni di emergenza, l'organizzazione deve pianificare le azioni per affrontarli, decidere come integrarle nei processi del sistema o in altri processi aziendali, e come valutarne l'efficacia. Nella scelta delle azioni deve tenere conto della gerarchia delle misure di controllo, delle migliori pratiche, delle opzioni tecnologiche e dei vincoli finanziari, operativi e di business.
La traduzione italiana più naturale è il programma delle misure ritenute opportune per garantire il miglioramento nel tempo dei livelli di sicurezza, che l'art. 28, comma 2, lettera c, chiede di inserire nel DVR, insieme all'individuazione delle procedure e dei ruoli che devono attuarle previsti dalla lettera d. Il sistema di gestione rende questo programma uno strumento vivo, con stato di avanzamento, budget e verifiche.
Un buon piano d'azione riporta per ogni voce il rischio o la prescrizione di origine, la misura scelta, il livello nella gerarchia, il responsabile, la scadenza, il costo stimato, lo stato e il criterio di efficacia. Quest'ultimo elemento è quello più spesso trascurato. Installare una barriera fotoelettrica su una pressa è un'azione; verificare dopo tre mesi che non sia stata esclusa e che gli operatori non debbano più entrare nella zona pericolosa per lavorare è la misura della sua efficacia.
Una distinzione utile è quella tra azioni per adempiere a obblighi di legge, che non sono negoziabili, e azioni di miglioramento, che entrano invece nella programmazione ordinaria per priorità.