Нужен ли антивирус, если включена политика ограниченного использования программ?

А нужен ли вообще нам антивирус на рабочих станциях?

Это вам решать.
Зависит от ситуации, от задач, от политики организации, и.т.п.
Я например наличие антивируса не считаю обязательным - во многих случаях без него можно обойтись. Как и без обновлений безопасности.
Но кроме моего мнения есть такие вещи как корпоративная политика безопасности например, или желание клиента.

Или такая ситуация возможна?

Разумеется возможна.Любые меры защиты, в том числе и антивирус никак не гарантируют невозможность заражения вирусом. Они лишь уменьшают вероятность возникновения этого события.
Поэтому главная задача - адекватно оценить риски, вероятность и исходя из этого уже считать какие методы противодействия будут наиболее эффективны и какие уложатся в бюджет.

Ваша политика покрывает большой спектр каналов, по которым зловреды бы могли проникнуть, так что в большой части случаев этого может быть достаточно, если запускается только ПО из доверенных директорий без съёмных носителей, исполняемые файлы имеют подпись, права пользователей ограничены.

Однако сходу приходит в голову сценарий в котором в доверенном браузере, имеющем подпись, запускается вредоносный Javascript. Или, например используется java environment, который может выполнить jar с вредоносным кодом. Или любой другой похожий сценарий, в котором некое доверенное ПО выполняет некий код третьей стороны. В условиях ограниченных учёток это, скорее всего, не приведёт к неработоспособности системы, но вот данные в папках, доступных пользователю, можно потерять. Насколько для вас это критично -- нужно смотреть по вашей модели угроз и оценивать риск. Может быть и так, что, условно, при ежедневном резервном копировании данных пользователя риск потери данных, накопленных за день, ниже, чем затраты на антивирус.

Ну и риски уязвимостей в механизмах безопасности ОС, разумеется, тоже никто не отменял.

Нужен ли антивирус, дело всегда хозяйское. Но способов проникновения в систему у вредоносного ПО столько, что политики их все не перекроют (правда, не всегда перекроет и антивирус). Поэтому методы защиты нужно комбинировать и не забывать про бэкапы, которые ни в коем разе не должны быть связаны с компьютерами и сетью.