Как определить, передали ли входные данные политике REGO?

Нет, ваш способ совершенно верный. Иногда нужно учесть случай, когда input.payload действительно существует, но имеет значение false, и тогда проверить его наличие позволяет унификация (https://www.openpolicyagent.org/docs/latest/policy-language/#unification-):

package sandbox

present {
  _ = input.payload
}

Однако в 98% случаев я бы выбрал ваш вариант.

package sandbox

default supplied = false

supplied {input["payload"]}

Результат равен true, когда во входных данных есть ключ 'payload' . Иначе возвращается значение по умолчанию false