Ogni riga del foglio di lavoro segue la stessa struttura. Si scrive la deviazione, ad esempio «più temperatura nel reattore R-101». Si elencano le cause credibili, ciascuna separata: guasto della valvola di regolazione del vapore in apertura, mancanza di acqua di raffreddamento, errore di carica con eccesso di catalizzatore. Per ogni causa si descrive la conseguenza nell'ipotesi che nessuna protezione intervenga, spingendo il ragionamento fino all'esito finale e non fermandosi al primo effetto: non «aumento di temperatura», ma «decomposizione, sovrappressione, possibile rottura del reattore e rilascio di vapori tossici in reparto».
Segue la colonna delle salvaguardie esistenti: allarme di alta temperatura, interblocco che chiude il vapore, valvola di sicurezza, procedura operativa. Qui il conduttore deve essere severo: una salvaguardia conta solo se è installata, funzionante e indipendente dalla causa. Un allarme generato dallo stesso trasmettitore il cui guasto ha causato la deviazione non protegge da quella causa.
Molte aziende aggiungono una stima qualitativa del rischio con una matrice di severità e frequenza, per ordinare le priorità. L'ultima colonna contiene le raccomandazioni, formulate come azioni verificabili con un responsabile: «valutare l'installazione di un secondo trasmettitore indipendente di temperatura con interblocco su chiusura del vapore». Una raccomandazione vaga come «migliorare il controllo della temperatura» è un errore tipico: non si sa chi debba fare cosa, e resterà aperta per anni.