Eu, como um novato, olho para o projeto e penso "é confiável ou não", agora basicamente tenho três ferramentas principais: GitHub, relatório de auditoria, e múltiplas assinaturas.

O GitHub não precisa ser muito avançado, só verifico se recentemente ainda há pessoas trabalhando seriamente, se há alguém respondendo às issues, não quero uma pilha de forks só para exibição…
Eu também não entendo detalhes do relatório de auditoria, só olho para as conclusões + lista de correções, o que mais me assusta é aquele tipo de "risco conhecido: dependência da boa vontade do administrador" e eles fingem que está tudo bem.
Múltiplas assinaturas são mais diretas: algumas chaves, quem é, se pode alterar, se há atraso na alteração, senão, na verdade, se alguém pode mudar as regras com um clique a qualquer momento, eu não consigo dormir.
Recentemente, as ferramentas de dados na cadeia e as etiquetas têm sido criticadas por serem atrasadas ou induzirem a erro, então também não confio muito na ideia de "um endereço = uma instituição", prefiro verificar várias fontes cruzadas.
Ah, e ao testar na rede de teste, encontrei problemas de atualização, tentativa de recarregar, fila de espera, clicar em confirmar é tão leve quanto uma pata de gato, mas ainda fico nervoso.
Por enquanto é isso, vou aprendendo aos poucos.