В груповите политики на машината се намира.
стартират се от
Run: mmc.exe
от меню File =>Add remove snap-in =>Add...=>Group policy object editor=>Local Computer (АКО е МЕМБЪР или СТАНДАЛОУН сървъра, АКО е ДОМЕЙН КОНТРОЛЕР Тогава се посочва Домейн контролер полиси или се прикачва допълнителна политика към OU=Domain controllers)
От там отиваш в:
Computer configuration=>Administrative templates=>System=>Display Shutdown Event Tracker.

Внимавай като "щракаш" там да не си нанесеш поражения без да искаш.