Wer ist Absender der Mails?
Sind es die jeweils betroffenen User, läuft die Aktion wohl auf den Clients ab.
Dann könntest Du testweise einen Client nehmen und aufmerksam einzelne Schritte unternehmen (Client starten, Mail-DB öffnen, Arbeitsumgebung wechseln usw.). Parallel dazu verfolgst Du auf der Konsole, ob von dem User Mails gesendet werden. Damit kannst Du vielleicht das auslösende Event einkreisen. Hast Du eine Datenbank in Verdacht, schaust Du Dir die im Designer an, vielleicht sind nur die relevanten Designelemente von firmeninternen Usern signiert.
Ist der Absender immer der gleiche (ein Admin, der Server oder ein Agentenuser), ist der Auslöser wohl ein periodischer Agent (wie Bernhard kann ich mir allerdings auch nicht vorstellen, wie ein periodischer Agent Informationen zu Arbeitsumgebungen einsammeln sollte, aber um welche Infos es sich handelt, ist zumindest mir bisher unbekannt). Dann brauchst Du ja nur im Log nachzuschauen, welche Agenten vor dem Mailversand gestartet wurden.