Para aqueles que estão interessados:

Após investigação com o suporte da MS, eles confirmaram que o runbook (não híbrido) sempre é executado em NTAUTHORITY\SYSTEM