Mno, správně by bylo udělat to na úrovni scriptů, ale no to je třeba admin přístup. Obejít se částečně dá:
Aktivace při události.
Source: User32 (tedy, protokol "system")
Event Id: 1074
Jen pozor, tuším že tato konkrétní událost může proběhnout vícekrát během jednoho shutdown. W10 netestováno, ale fungovalo od XP až po W7, takže odhaduji že zabere i na desítkách.