Ok, apenas usando atalhos.
Primeiro, remova o acesso à pasta compartilhada do login do departamento.
Crie um atalho chamado "conectar-se à pasta compartilhada" (ou algo mais explícito) e use-o como um destino:
\explorer.exe /e,\[server]\[shared folder]
Como o login usado na máquina não é válido, o usuário será apresentado a uma pequena janela de login, na qual ele poderá inserir outro login (o login do gerente). esta janela de login só terá o nome do servidor, então infelizmente não é muito explícito. Após o login, eles serão apresentados com a pasta compartilhada no explorador.
O segundo atalho será o nome "Desconectar" e conter esse alvo:
net use use \[server]\[shared folder] /delete
Os gerentes devem lembrar-se de desconectar.