No Visualizador de Eventos, abra o log do sistema e filtre a ID do evento 1074. Essas são as entradas planejadas do log de desligamento e incluem o texto inserido no diálogo de desligamento. O Microsoft KB tem mais informações para o seu prazer de visualização.