За либу спасибо. Но до нее руки еще не дошли. В общем теперь такая проблема: если в списке пользователей стоит Everyone, то любой аудит добавляется нормально. Но если же там прописан хотя бы еще один пользователь, то добавляется и ему Read&Execute аудит с типом Unknown, а сам внутри пустой ...