[exo]

просто в каком направлении "копать"? »

поменяйте пароли на всех серверах, для его учётной записи.
Для уходящего админа дать минимальные права.

[monkkey]

Еще лучше - переименовать встроенную учетную запись администратора (со сменой пароля, конечно, на сложный). Проверить назначенные задания и т.п.

[Delirium]

я бы еще предложил проверить папки автозагрузки в реестре и локально, ну и службы, если он умел программировать. Плюс ко всему, если есть интернет, то обязательно проверить маршрутизацию и VPN, вдруг он оставил дырку чтобы с дома пользоваться твоим инетом через VPN.