Нда, не очень удобно... Если пользователь поменял ПИН и благополучно забыл, уволился, заболел головой и т.п., можно легко потерять ключи на токене...

В контексте токенов и смарт-карт администратор является скорее офицером безопасности, чем собственно администратором. Это означает, что он не имеет права получать доступ к ключевой информации пользователя, поскольку формально ключи будут скомпрометированы.
Однако при форматировании токена можно установить разрешения на смену пользовательского PIN, соответствующие политике безопасности конкретной организации: для пользователя, для администратора, для обоих.
Если пользователь уволился, его учетная запись должна быть заблокирована, сертификат отозван, а закрытый ключ уничтожен.
Для того, чтобы доступ к ключам на токене не терялся по причине забывчивости, в PKI может (должен) быть предусмотрен сервер-депозитарий, либо копии ключей дожны храниться на других носителях в надежном месте (типа банковской ячейки).
Закрытый ключ, как правило, принадлежит не организации, а конкретному человеку. Поэтому посторонние не должны иметь доступа к закрытой ключевой информации. Иначе теряется весь смысл.

Поменять эту возможность можно при форматировании токена выбрав соответствующую опцию