No log de eventos System , filtre por evento id 1074 , isso mostrará por qual processo e em nome de qual usuário uma reinicialização foi iniciada.
Isso foi testado no Windows Server 2008.
É possível nas máquinas com Windows Server 2000/2003/2008 ver qual usuário reinicializou o servidor?
Encontrei o evento de desligamento no log de eventos do sistema, mas ele não mostra qual usuário iniciou a reinicialização.
Deve haver um log em:
%windir%\system32\LogFiles\Shutdown
(que deve ser C:\WINDOWS\system32\LogFiles\Shutdown em uma instalação "padrão" do Windows Server 2000/2003)