SQL放在配置文件中动态加载的问题（顶者有分）

用C# Sqlserver开发管理系统，之前都是将SQL直接写到程序中的，但最近想将SQL提到程序外面，放到文件或配置文件中，在程序启动时动态加载，这样在以后维护（修改SQL）时会比较省事。
但我目前有几个问题还没考虑好：
1：数据安全的问题，SQL放到配置文件中是否存在安全问题
2：程序可读性的问题，由于SQL放在外部，因此如果想查看逻辑还得先到配置文件中去找，是不是很麻烦？以上只是初步想法，因为看到很多ORM都是将SQL放到外部的。
就以上想法大家有什么经验或者建议可以说说，如果不放到外部，有什么其他好的方法也可以说说。