Con le policy puoi bloccare tutti i programmi che vuoi es emule.exe o skype.exe

però la cosa migliore credo che sia bloccare le porte che usano questi programmi, gli lascia aperto solo lo stretto indispensabile.

Cmq visto che ci sei potresti direttamente evitare di fargli installare programmi non "idonei"

dopo dipende ovviamente dalla realtà in cui si trova la rete, tradotto: se sei un admin un pò troppo cagakatzi alla fine ne risente anche l'efficenza della rete...