A ce niveau-là, il te faut un modèle de délégation, qui te permettra de déléguer aux managers la possibilité de gérer les permissions techniquement et non plus simplement fonctionnellement.
Tu peux ensuite passer par un logiciel qui gère tout ça, ou en faire une partie directement via les ACL/API Windows.