Подруга получила карточку резидента без права на работу на основании волонтерской деятельности ( считай, то же самое, что и учёба).

Это не ВНЖ без права на работу, а карточка, аналогичная студенческой, так наз. permiso de estancia. Она может ездить с ней по Шенгену, пока эта карточка действительна. Срок действия её указан на ней самой. Вероятность, что какая-то организация сообщит, что проект был завершен раньше времени и что карточку из-за этого аннулируют, я бы сказал, что нулевая. Аннулировать её могут, если человека депортируют за совершение преступления или если вскроется, что она была получена или продлена путём обмана. Абсолютно нет никакой необходимости городить огород с потерей паспорта и т. п.

Не должны они так поступить, но вопрос, как расстались они с подругой. Скорее всего никто никуда сообщать не будет, но минииальный риск есть. В любом случае я думаю каких то трагичных последствий быть не должно.