Я смотрю на GitHub и отчеты по аудиту, и на самом деле ищу несколько «сигналов»: занимается ли проект постоянно поддержкой, отвечают ли серьезно на выявленные проблемы, совпадает ли исправление с историей обновлений. Я не слишком верю в выводы в отчете по аудиту, скорее просматриваю, ясно ли указано «что не входит в область», есть ли повторяющиеся одни и те же риски, и после прочтения примерно понимаю ситуацию.

Более наглядно по мультиподписанию: я смотрю, насколько сильно можно изменить права, одни ли подписанты, есть ли задержки или периоды объявления. Говоря проще, я боюсь, что «сегодня всё хорошо, а завтра одна кнопка обновления превратит всё в другую систему». Недавно обсуждали, как в некоторых регионах увеличивают налоги, ужесточают или ослабляют регулирование, и как меняются ожидания по входу и выходу средств, что вызывает у людей больше спешки с движением капитала… Я наоборот хочу делать всё чуть медленнее, даже если это дороже, главное — чтобы всё было под контролем.