Puede ser que hayan abierto una sesión localmente alguno cómo. Comprobar su política del grupo del regulador del dominio para verificar qué grupos y cuentas tienen esta derecha. Entonces comprobar a grupos con minuciosidad que pertenecen a.
http://technet.microsoft.com/en-us/library/ee957044(WS.10).aspx