Elke organisatie is verplicht om een risico-inventarisatie en -evaluatie (RI&E) te hebben. Onderdeel van de RI&E is het plan van aanpak, waarin staat beschreven welke maatregelen de werkgever gaat nemen om de geïnventariseerde risico's aan te pakken. De ondernemingsraad heeft instemmingsrecht op het plan van aanpak.