Das geht leider nicht.
Sobald *SPLCTL vorliegt, kannst du das nicht entziehen.
Auch ein Programm erbt eben zur Laufzeit die Berechtigungen des Users/Gruppenprofiles.

Man kann zwar per QSYGETPH/QSYSETPH den Benutzer wechseln, aber das hilft dir hier nicht.

Da musst du ein eigenes WRKSPLF schreiben, dass eben nur die zulässigen Aktionen enthält.