[drTr0jan]

Это же не зависит от самой программы, правда ?

Не поверите, но это зависит именно от самой программы. Необходимо ли ей писать в защищенные области "памяти" или нет.

нужно выставить правильный уровень UAC (там их несколько)

Правильный уровень UAC с точки зрения Microsoft - уровень по умолчанию.
Остальное - либо экзотика, либо дырявое решето.

через MSI пакеты администратором предприятия

Механизм оперативной доставки MSI-пакетов уже налажен? На самом деле, я только за!

Сисадмины закрыли права доступа на совершение программами определенных действий.

Это не сисадмины сделали. Это штатное поведение современных ОС: Win7, Win8.1, Win10.

Верно. Для этого они свой апдейтер сделали в виде СЛУЖБЫ, которая автоматически запускается при старте Windows от имени прав SYSTEM и может делать на компьютере всё, что пожелает.

Вы очень сильно заблуждаетесь. Только что в песочнице установил Хром под непривилегированным пользователем без повышения прав UAC в %AppData% - все прекрасно работает (и обновляется) без апдейтера от имени SYSTEM.

Проблема в том, что такой вариант очень не любят админы серьезных компаний, т.к. не доверяют ему в случае ПО не от общеизвестных гигантов отрасли типа Google из-за того, что с помощью этой службы можно и получить доступ много к чему и натворить много чего в системе или даже в корпоративной сети.

У нас Хром можно установить через MS SCCM. Служба апдейтера кастрируется. Хром обновляется также через SCCM.

Сообщение от Gusarov

Так в итоге можно получить краткую инструкцию по обновлению MSI пакетами дабы донести это до админов

Ну, например, можно воспользоваться:
...

Нельзя. MSI-пакет админы должны сами готовить?

MSI-пакет обязан готовить разработчик ПО (ну или дилер):
1) ибо во всех этих решениях по ссылкам регулярно встречаются проблемы;
2) механизм распространения должен быть оперативным: чтобы конечный пользователь никогда не встречал ошибки, что текущая схема создана в более свежей версии программы;
3) Ну и наконец админы должны заниматься своей настоящей работой.