Acontece que o componente estava sendo executado em uma conta de domínio. Ao usar contas de domínio, a conta deve ter o privilégio Logon as a Service configurado na política local ou de grupo. Nosso GP estava substituindo muitas políticas locais. Conceder esse privilégio à conta no GP e no bingo, problema resolvido. Não há muito por aí na web sobre esse problema, pois ele só ocorre raramente (espero que poucos componentes do DCOM usem contas de domínio - provavelmente por um bom motivo!).