A maioria dos programas de instalação de software para o Windows requer direitos de administrador para funcionar corretamente. Este é um artefato do design (ou falta dele, alguns podem dizer) da plataforma Windows. Embora exista uma tendência crescente para o software que é instalado apenas nos diretórios graváveis acessíveis a um usuário limitado (ou seja, não-administrador) (coisas como as instalações do ClickOnce), a grande maioria dos instaladores de software não funciona dessa maneira.
Não há nada que você possa praticamente fazer para realizar o que está pedindo. Qualquer um que diga o contrário está mentindo para você ou não sabe do que está falando.
A única melhor coisa que um administrador de TI supervisionando operações de computador cliente em um ambiente Windows pode fazer para aumentar a confiabilidade e a segurança é garantir que os usuários tenham acesso não-administrador aos computadores-cliente. Nada tem um melhor retorno do que fazer essa mudança. Nenhum software de "proteção", Diretiva de Grupo ou qualquer outro método que tente conceder direitos de Administrador e de alguma forma limitar o que os usuários fazem com esses direitos é um substituto.