Hierfür kannst du ggf. API's verwenden.
Wiederum ein kleines CLP, dass du intern über eine andere Anmeldung als *SECOFR laufen lassen kannst.
Dieses CLP verwendet die API's:
IBM i API example: Using profile handles

Damit kannst du die Gültigkeit des aktuellen Kennwortes prüfen.
Wenn du ein Handle erhältst stimmt das Kennwort.
Vergesse den QSYRLSPH aber nicht.

Hier gibts noch ein API (Change User Password (QSYCHGPW) API):
http://pic.dhe.ibm.com/infocenter/is...61%70%69%22%20

Vielleicht reicht das ja, da hier das alte kennwort mit übergeben werden muss.