ウチの場合は
１）情シスが全員に「ｏ日までに新パスワード（以後ＰＷ）を申告しなさい。ｘ日17：00に一斉に切り替えます」とアナウンスする。
２）申告されたＰＷが文字数などレベルを満足しているか確認する（Excelの表にするのでその時に関数でチェック）
３）ｏ日になって申告を締め切る　その日までに申告して来なかったものは乱数文字列のＰＷを作って「＊＊＊＊＊にしたからｘ日からはこれにしなさい」と指示する
４）サーバに登録されているＰＷをバッチ変更するスクリプトを作成する（Excelの表からマクロで作成する）
５）ｘ日17：00にスクリプトを実行する
６）各自は自分のパソコン（以後ＰＣ）に登録されているＰＷを変更する
７）情シスは全ＰＷ記録を管理本部長に預ける（情シスはＰＷを保たない）
という方式をとっています

自分でサーバに登録されているＰＷを変更する方法もありますが
　・入力した途端に何を入れたか忘れて情シスに聞きに来るアホが後を絶たない（当然、情シスでもＰＷは判らないのでＰＷリセットすることになる）
　・ＰＣの不調らしいがＰＣからサーバのＰＷ変更できない場合が少数ある
　・本人不在でＰＣ起動が必要なことがあるが自己変更ではだれもＰＷが判らないのでＰＣ起動が出来ない。
　・本人でさえＰＷを入れ間違えて「合っているハズ」とゴネる者が居る。
なので止めました。

期日までに変更ＰＷを報告してこない虚け者に対して、前は督促しましたがキリがないので　乱数を割り当てることにしました。自分の覚えやすいＰＷにしたかったら期日までに報告せよです。乱数ＰＷの変更は禁止です。

「情シスがＰＷを知っている」というのもマズいのでＰＷはすべて管理本部長保管として、どうしてもＰＷが知りたいときは管理本部長に理由を説明してＰＷを聞く事になります。（管理本部長はユーザＩＤを知らない（しＩＴに疎い）ので他人のＰＷで何かをするということは多分？出来ない）

今のところウチはこの方法が最良だと思っています

こんにちは。

当社ではパスワードについては情シス側は管理しておりません。
パスワードについて情シス側が行うのは、リセットや上書き位となってます。

エンドユーザ(当社では従業員)には会社ルールとして「8文字以上英数字記号を含めた形で複雑性を持たせる」としております。
それ以外のパスワードはシステム上でエラーとして登録出来ない形をとっており、且つ3ヶ月(90日)毎に強制的に変更処理が掛かる仕組みを取ってます。