Wie wäre es mit einer nicht Technischen Lösung? Wenn ein User Admin Rechte braucht muss er einfach eine vereinbarung unterzeichnen, dass er mit den Rechten keinen Unsinn anstellt.
Vor was hat der IT Leiter angst? Das User mit Lokalen Admin rechten die Domäne kaputt machen? Das sie Viren einschleppen?