Umgang mit dem allmächtigen Administrator

Ich erarbeite eine Betriebsvereinbarung bzgl. der Administratorenrechte udn der Nachvollziehbarkeit ihrer Aktionen in der Domäne.

Wir wollen in unserem Betrieb die Angst vor den allmächtigen Administratoren einerseits abbauen, andererseits aber auch gewährleisten, dass es möglichst wenige Sicherheistlücken gibt.
Dazu gehört z.B., dass das Kennwort des Domänenadmins nicht bekannt und im Safe hinterlegt ist. Die Hauptadministratoren haben zwar ebenfalls Domänenadmin-Rechte, sind aber über ihren Benutzernamen identifizierbar.
Hier meine Frage:

Mit den persönlich zugeordneten Adminkonten soll nachweisbar sein, welcher Admin welche Änderung z.B. an einem Server durchgeführt wird. Gibt es dazu ein tool? Kann man - so etwas gibt es ja durchaus für andere Zwecke - z.B. die Ereignisprotokolle ausgewählter Systeme automatisch nach Einträgen zu bestimmten Benutzern durchsuchen lassen?

Zweite Frage: Wie schützt man sich anderswo. Natürlich sollten beim Weggang eines users mit Admin-rechten die entsprechenden Kennworte geändert werden. Welche Hilfsmittel werden bei euch eingesetzt?

Viele Grüße und danke, Rainer