Conformément à l'article 4, les exploitants ferroviaires prévoient, dans leur système de gestion de la sécurité, les modalités de contrôle interne. Ce contrôle porte sur l'application et l'adéquation de ce système aux enjeux de sécurité.
Pour justifier de l'effectivité de ce contrôle, l'exploitant ferroviaire conserve une documentation appropriée durant une période minimale de trois ans. Cette documentation est tenue à la disposition du préfet.
Elle peut également être intégrée à une démarche de contrôle plus globale permettant d'atteindre les mêmes objectifs, notamment celle mise en œuvre en matière de sécurité et de protection du personnel.

L'audit externe porte sur l'effectivité du contrôle interne ainsi que sur l'application et l'adéquation du système de gestion de la sécurité aux enjeux de sécurité.
Il fait l'objet d'un rapport de l'organisme d'inspection mentionné à l'article 19. Ce rapport est tenu à la disposition du préfet.
L'exploitant ferroviaire prend les mesures appropriées pour que l'organisme d'inspection ait accès aux dossiers et aux sites nécessaires à l'exécution de ses missions.

Chaque exploitant ferroviaire désigne un organisme d'inspection accrédité dans les conditions mentionnées à l'article 20 chargé de réaliser l'audit externe prévu à l'article 18.
Par dérogation au premier alinéa, sont exonérés de cette obligation :
1° Les exploitants ferroviaires chargés d'une infrastructure présentant un faible niveau de risques ;
2° Les entreprises ferroviaires qui s'engagent auprès du gestionnaire d'infrastructure à respecter les dispositions de leur système de gestion de la sécurité approuvé par l'établissement public de sécurité ferroviaire ainsi que les dispositions du système de gestion de la sécurité du gestionnaire de l'infrastructure relatives à la gestion des interfaces et aux consignes locales d'exploitation. Ces entreprises sont également dispensées de la production d'une documentation spécifique à l'infrastructure considérée.

Les organismes d'inspection sont accrédités par l'instance nationale d'accréditation selon la norme NF pertinente ou toute version équivalente et selon les compétences spécifiques exigées pour l'évaluation de l'effectivité du contrôle interne, de l'application du système de gestion de la sécurité et de son adéquation aux enjeux de sécurité.
Chaque organisme transmet annuellement au ministre chargé des transports un rapport portant sur son activité d'évaluation des systèmes de gestion de sécurité et l'informe des conclusions qu'il tire de cette activité. Une copie de ce rapport est transmise à l'instance nationale d'accréditation.

La périodicité de l'audit externe est de trois ans maximum.
Le premier audit externe que doit diligenter un nouvel exploitant ferroviaire sur une infrastructure existante ou un exploitant sur une infrastructure nouvelle ou substantiellement modifiée a lieu dans les six mois qui suivent le début de l'exploitation. Cet audit prend en compte les observations qui ont éventuellement été émises par l'organisme qualifié accrédité en application du deuxième alinéa de l'article 8.
Lorsqu'une infrastructure relevant d'une autre réglementation relative à la sécurité des circulations vient à être soumise aux obligations du présent décret et que le gestionnaire de l'infrastructure n'a pas changé, le premier audit a lieu avant l'expiration d'un délai de trois ans.

Lorsque l'organisme d'inspection constate un manquement grave à la réglementation ou un risque grave ou imminent pour la sécurité des circulations, il en avise immédiatement le préfet.
Lorsque cet organisme estime nécessaire une intervention de l'exploitant ferroviaire à raison de points de fragilités ou de non-conformité à la réglementation, l'exploitant ferroviaire lui rend compte de son action dans le délai prescrit. En l'absence de compte rendu ou au cas où l'action entreprise serait jugée insuffisante par cet organisme, ce dernier peut mettre en oeuvre les dispositions du premier alinéa.

Le préfet peut à tout moment exiger la réalisation d'un audit externe par un organisme d'inspection aux frais de l'exploitant ferroviaire, lorsqu'il existe un doute sérieux sur l'application du système de gestion de la sécurité ou sur son adéquation aux enjeux de sécurité.
Il peut faire procéder à tout moment à des visites de contrôle des exploitants ferroviaires aux fins notamment de vérifier le respect des dispositions du système de gestion de la sécurité.
Les agents effectuent ces visites dans les conditions fixées par les dispositions du titre Ier du livre VII de la première partie de la partie législative du code des transports. Ils peuvent demander communication de tous documents ou pièces nécessaires à l'accomplissement de ces vérifications.
Le préfet peut interdire, restreindre ou suspendre les circulations sur les voies ferrées lorsqu'il existe un risque grave ou imminent pour la sécurité des circulations ou un manquement grave à la réglementation.