Windows, nella scheda protezione del registro eventi, riporta tutte le operazioni di accesso e controllo eseguite dai servizi in esso contenuti, con cadenza molto breve.
Quindi se il computer fosse stato acceso tutta la notte avresti trovato molte voci nell'intervallo di tempo di chiusura dell' ufficio.

D'altronde, se come dici il computer ha una connessione attiva, e programmi installati che fanno uso della rete, per eventuali update o altri servizi, nella scheda applicazioni avesti trovato le relative voci dei servizi o dei programmi che hanno usato la rete.

win era acceso ma bloccato sulla skermata iniziale (desktop con sfondo senza icone)...potrebbe aver visto come riuscita l'operazione di chiusura e non essersi chiuso realmente? Inpratica si è freezato e quindi sostanzialmente bloccato ha bloccato tutto ..compresa la registrazione deglie venti?
Questa mi sembra la conclusione più sensata, deve essere andata proprio cosi.
Un programma che non si è chiuso correttamente, lasciando windows nello stato ibrido di non chiusura e quindi di non spegnimento,, ma senza programmi o applicazioni attive al suo interno.

Quindi puoi dare la colpa al sistema.......magari dopo altre chiusure non corrette.....invoca la venuta di un tecnico esperto.

Ciao