Não sei ao certo como acompanhar / auditar o que pode estar causando isso, embora pareça muito como um objeto de política de grupo foi configurado para controlar isso e está sendo atualizado a cada semana.
Sugiro usar o rsop.msc ou gpresult para visualizar o conjunto completo de políticas que estão sendo aplicadas. Você também pode testar essa teoria emitindo um gpupdate /force
da linha de comando para forçar uma atualização de política.