Le informazioni documentate sono le informazioni che l'organizzazione deve tenere sotto controllo e il mezzo che le contiene. La norma distingue implicitamente due tipi: quelle da mantenere, che descrivono come funziona il sistema, come politica, campo di applicazione, procedure e istruzioni, e quelle da conservare, che dimostrano cosa è stato fatto, come esiti di monitoraggi, verbali, attestati e risultati di audit.
La ISO 45001 non richiede un manuale e lascia margine sull'estensione della documentazione, che dipende da dimensioni dell'organizzazione, complessità dei processi, competenza delle persone e necessità di dimostrare il rispetto delle prescrizioni legali. Richiede però che le informazioni siano identificate, in formato adeguato, riesaminate e approvate, disponibili dove servono, protette da perdita di riservatezza, uso improprio o perdita di integrità, e gestite per distribuzione, conservazione, modifica e eliminazione.
In Italia una parte consistente della documentazione è imposta dalla legge: DVR con data certa, nomine, verbali della riunione periodica, documentazione di sorveglianza sanitaria custodita dal medico competente, registri dei controlli antincendio, verbali delle verifiche periodiche, DUVRI. Il sistema li ricomprende senza duplicarli.
Due errori opposti sono frequenti: la proliferazione di procedure scritte per l'auditor, che nessuno in reparto legge. oppure l'assenza di controllo delle versioni, con istruzioni operative superate ancora affisse a bordo macchina. Un archivio digitale con indice delle revisioni risolve gran parte del problema.