ops, descobri…
estava pesquisando na SYS.FGA_LOG$, o correto é a view DBA_FGA_AUDIT_TRAIL.
A DBA_FGA_AUDIT_TRAIL alimenta o timestamp com este comando:
CAST ((FROM_TZ(ntimestamp#,’00:00′) AT LOCAL) AS DATE)
A deficiência de usar a DBA_FGA_AUDIT_TRAIL é que utiliza apenas 2000 da LSQLTEXT com este comando: to_nchar(substr(lsqltext,1,2000))
Registrado.