Dopo l'elenco delle aree, l'art. 30 indica quattro elementi strutturali senza i quali il modello non può considerarsi idoneo. Il comma 2 richiede idonei sistemi di registrazione dell'avvenuta effettuazione delle attività: non basta fare, bisogna poter dimostrare di aver fatto, con verbali, firme, report, registri anche digitali con data e autore riconoscibili.
Il comma 3 chiede, per quanto richiesto dalla natura e dimensioni dell'organizzazione e dal tipo di attività svolta, un'articolazione di funzioni che assicuri le competenze tecniche e i poteri necessari per la verifica, valutazione, gestione e controllo del rischio. Chiede inoltre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello. Il sistema disciplinare deve rispettare lo Statuto dei Lavoratori e il contratto collettivo applicato, essere conosciuto dal personale e riguardare tutti i livelli, dirigenti compresi: un modello che sanziona solo gli operai e mai chi ha tollerato la violazione perde credibilità davanti a un giudice.
Il comma 4 prevede un idoneo sistema di controllo sull'attuazione del modello e sul mantenimento nel tempo delle condizioni di idoneità delle misure adottate. Il modello va riesaminato ed eventualmente modificato quando siano scoperte violazioni significative delle norme di prevenzione, oppure in occasione di mutamenti nell'organizzazione e nell'attività in relazione al progresso scientifico e tecnologico. In pratica il comma 4 corrisponde ad audit, riesame e gestione del cambiamento della ISO 45001.