Дмитрий, насколько я понимаю, схема будет такая:
1. Руководитель подразделения запускает VNC плагин на просмотр (не управление!) какого-либо пользователя.
2. Скрипт на сервере проверяет, тот юзер, экран которого руководитель хочет увидеть, находится в его подразделении?
3. Если да, и руководитель хочет просто посмотреть экран, то скрипт разрешает это сделать, если нет — то нет.
4. Людей из группы прав администраторов - сразу в исключения, автоматически, чтобы скрипт это "понимал".
Такой вариант вас устроит? Если да — доработаем скриптовый движок, я напишу скрипт, нужно будет обновить сервер, версия 5.23.
Team lead
Чат со мной