Account operator no puede desbloquear helpdesk users

Buenos días, los molesto por una consulta que desde hace varios días me
viene rompiendo la cabeza.
Tenemos definido Role Base access control en el cliente donde estoy
trabajando, entre esos roles, algunos grupos "privilegiados" pertenecen a
grupos BUILTIN debido a su funcion.
El problema surge ahora que necesitamos delegarle al nuevo administrador
de seguridad la posibilidad de manejar cuentas de usuario.
El anterior lo hacia porque era Domain Admin, pero a este nuevo todavía no
le quieren dar tanto "poder", por lo cual resolvimos ponerlo como Account
Operator.
El problema es que con este privilegio no puede desbloquear usuarios
pertenecientes Mesa_de_ayuda. (que son miembros del grupo HelpDesk y Print
Operators del dominio)
Se les ocurre porque puede ser?
Como dato adicional, al grupo Mesa_de_ayuda en su momento le habíamos
asignado la posibilidad de desbloquear usuarios sin asignarlos al account
operators como sugiere uno de los boletines de Microsoft.

Alguna idea?
Desde ya muchas gracias.
Pablo