Если он был в домене, то политика домена имеет приоритет. Судя по описанию (апдейт прошел у всех) - так оно и было. В общем кто-то из админов накосячил но не признался - так нередко бывает.

Через маршрутизатор - для надежности. А чтобы не было шуток с резервами - делается всё просто - ставится чистый ОС, и наблюдаются все коммуникации - от DNS-запросов до конкретных соединений. Автоматом блокируем каждый засвеченный IP и имя, через месяц у нас есть все детали.
В общем, для особо параноидальных, есть способы, так что это не проблема, но, как я уже говорил раньше, исключительно маловероятно что это так.

Чисто теоретически. Первая проблема - человек, который будет виноват, может покинуть компанию и свалить на острова Кука за пару лет до активации (и обнаружения) закладки. Вторая проблема - нет никакой гарантии что никто не взломает VCS и не сделает это в обход трэкинга, или просто подставит кого-то.
Или, говоря другими словами, несмотря на то что можно кого-то взять за жабры, даже под страхом этого гарантировать отсутствие закладок - невозможно.