Четко в условиях поставленной задачи - никак. Да, в роутере есть файрволл. Но файрволлы давным-давно обходят через VPN, Opera Turbo, FriGate etc.
Контроль сотрудников - еще та головная боль, скажу Вам :)
Можно поставить СМП и мониторить, чем они заняты - правда тут могут такие скелеты из шкафа выпасть...
Можно поставить сервак с прокси, хождение вне прокси обломать и нафигачить черных списков
Но если "бедный" - характеристика финансовая - лучше наверное просто с каждым поговорить - ведь их не должно быть в таком случае много...