[KomatoZo]

Можно, наверное, резюмировать:
1) встроенными средствами пользователю с административными полномочиями не запретишь что-либо запустить. То есть запретить можно, но он имеет возможность себе все вернуть в зад, если разбирается.
2) Можно какими-нибудь средствами третьих производителей запретить запускать существующие программы. Либо путем шифрации, либо каким-то еще. Но запретить администратору принести на флешке или просто поставить дополнительный софт - задача нереальная.
Отсюда:
1) Не давать ему админских прав. Создать для него отдельного юзверя. И запретить этому юзверю все, что необходимо.
2) Если п.1 не канает и если Ваш друг недостаточно остроумен, чтобы разобраться с GPO и реестром, то нужно следовать совету г-на Cartman или VanHelsing.
3) Если п.2 не канает, то единственный вариант - см п.1.