Системные обьекты всегда только на чтение ... иначе бы такого понаворатили. Поэтому вместо того, чтобы пытаться зайти на гору, лучше ее обойти, т.е. сделать добавление и удаление пользователей через ХП, в которых и делать нужные действия.

P.S. Заодно это даст возможность самому управлять правами добавление и удаления пользователей, регулируя права вызовов этих ХП, обычным пользователям, не являющихся DBA.

Отследить всегда 100% можно по лог-файлу, если конечно не срезать логи, а бакупить их.

Событий на перехват DDL нет, хотя в принципе не помешали бы.