Для корректной работы аудита (для создания записей в журнале только по событиям и пользователям, указанным во вкладке "Аудит") нужно отключить в политиках все опции в разделе "Локальные политики"-"Политики аудита", и включить опцию "Аудит файловой системы" в "Конфигурации расширенной политики аудита".