Посмотри перекрестную политику, если разрешена для пользователей просто тупо дай им разрешение на папку с БАТом и на фалы в system32 на которые сылается EXEшник БАТа!