Sem as mensagens reais para comparar e analisar, é difícil dizer especificamente de onde tudo está vindo.
Ao mover-se pelo Office365, você atingirá vários servidores antes que o email chegue à sua caixa de entrada, isso inclui os servidores de proteção on-line do Exchange e os servidores Exchange que hospedam seu serviço de email. Esses servidores podem mudar e, dependendo do roteamento, você pode ter mais ou menos servidores com cada fluxo de mensagens.
Se os tipos de codificação de mensagem estiverem sendo alterados em trânsito, isso também pode ser adicionado ao tamanho da mensagem. Alguns bytes podem ser adicionados se TLS foi usado e carimbado nos cabeçalhos também.
Quanto às suas regras - se a mensagem puder ser modificada para criar palavras de gatilho, a situação será exponencialmente mais fácil. Caso contrário, eu acho que você tem que confiar em Macro ou VBScript que podem analisar a mensagem e executar a ação que você deseja executar.
NOTA: Você também pode utilizar o Flow no seu cenário. Há uma nova ação de Exportação de Email disponível, que talvez você possa manipular com operações de dados, a partir daí você pode usar isso para enviar alertas SMS, mover para uma nova pasta ou qualquer outra ação que o Flow suporta.