Você analisou as ferramentas de auditoria internas ?
Se você estiver no Server 2008 ou posterior, a auditoria Alterações no Serviço de Diretório parece ser a mais interessada. As alterações estão registradas, acredito, no log de eventos de Segurança .