L'art. 31 consente al datore di lavoro di organizzare il servizio all'interno dell'azienda oppure di incaricare persone o servizi esterni, senza che ciò lo esoneri dalle proprie responsabilità. In alcuni casi però il servizio deve essere interno: aziende industriali soggette agli obblighi di notifica o rapporto di sicurezza per incidente rilevante, centrali termoelettriche, impianti e laboratori nucleari, aziende per la fabbricazione e il deposito di esplosivi, polveri e munizioni, aziende industriali con oltre 200 lavoratori, industrie estrattive con oltre 50 lavoratori, strutture di ricovero e cura con oltre 50 lavoratori.
Le due soluzioni hanno profili diversi. Il RSPP interno conosce a fondo processi e persone, è presente nei momenti critici come fermate e avviamenti, ma può subire pressioni gerarchiche e rischia l'assuefazione ai problemi di sempre. Il consulente esterno porta confronto tra realtà diverse e maggiore indipendenza, ma ha presenza limitata e dipende dalla qualità delle informazioni che riceve.
Per un RSPP esterno il contratto è uno strumento di gestione del rischio professionale. Conviene definire numero minimo di giornate in sede, tempi di risposta alle richieste, documenti da produrre, obblighi informativi dell'azienda verso il consulente, ad esempio comunicare nuove macchine, appalti, infortuni e modifiche di layout. Senza questa clausola il consulente rischia di scoprire a posteriori cambiamenti mai valutati.
Molte aziende medie adottano un modello misto: ASPP interno per la presenza quotidiana e RSPP esterno per l'indirizzo tecnico.