Использовал ORM, но на Java (Hibernate).
По мере использования и освоения ORM подхода (да, она требует времени на освоение и немалого) впечатления менялись: сперва восторг (хотя сперва на самом деле скептически отнесся), т.к. работать с готовой объектной моделью при написании бизнес-логики куда приятнее, чем постоянно что-то подгружать, конвертировать и т.п. Далее было понимание, что не все так радужно, есть немало проблем. Впрочем, большинство из них решались освоением нюансов этого самого Hibernate.
В итоге:
ORM вполне рабочий и полезный подход, но, конечно, надо учитывать потребности проекта.
Владея этим подходом и хорошим фреймворком, его реализующим, можно гораздо быстрее получить рабочее решение, что для бизнеса, как правило, очень важно. Причем, вопреки распространенному мнению, производительности можно добиться весьма неплохой. ORM фреймворки обычно пишут люди, знающие SQL и общие принципы работы СУБД на таком уровне, на котором далеко не каждый программист знает. Плюс как правило из коробки идет кэширование.
Но, по крайней мере в случае с Хибернейтом (а скорее всего не только с ним), для этого нужно знать как его правильно готовить, в т.ч. саму объектную модель. А это все куда больший объем информации, чем надо знать без ORM. К тому же, ORM не избавляет от необходимости как минимум кому-то в команде хорошо знать SQL и СУБД на хорошем уровне.
В общем, если цель - знать поменьше, то ORM не лучший выбор.
Для т.н. high-load проектов я бы тоже не стал использовать ORM. Не только потому, что выжать самые оптимальные запросы будет сложно, но и потому, что в таких проектах скорее всего будут еще кэши на key-value хранилищах и идиллии с объектной моделью все равно не получится.
В остальных случаях как минимум стоит рассмотреть возможность использования ORM подхода.
Другое дело, есть ли хорошие ORM фреймворки для Delphi. Тут не подскажу, хотя лично мне симпатичен mORMot, т.к. его разработчик зарекомендовал себя хорошо. Плюс в комплекте средства для создания REST API.
По поводу "защиты" БД, торчащей в интернет, посредством оборачивания INSERT'ов и UPDATE'ов в хранимки - весьма сомнительная защита. Тут и в самих хранимках легко ошибиться, скажем, подставив аргумент в запрос и получив возможность SQL-инъекции (привет проблемы 10-летней давности). И права можно не верно задать. И просто на эксплойт нарваться, позволяющий лазить по БД куда вроде бы не положено. В общем, такой БД я бы никаких серьезных данных не доверил.
Сервер БД должен быть доступен исключительно внутри сети бакенда.