Você não mencionou qual versão do Windows está usando? Existe uma opção para modificar a Política de Segurança Local que impede que usuários 'normais' desliguem as estações de trabalho.
Dependendo do seu ambiente, pode ser possível aplicá-lo localmente em cada PC ou para que ele seja entregue por meio de uma política de grupo, se parte de um domínio.
A opção em questão, se disponível em seu ambiente, pode ser encontrada executando secpol.msc e navegando para:
Políticas locais / atribuição / desativação de direitos de usuário O sistema
E removendo o grupo "Usuários"