Las pantallas que liquidan su hipoteca
Un banco minorista europeo entre los 10 más grandes aún procesa la originación de préstamos corporativos a través de 427 pantallas de Oracle Forms. La más antigua fue escrita en 1996. Registra aproximadamente 18 mil millones de euros en nuevo crédito cada año, y cada desembolso pasa por un paquete PL/SQL que cinco personas en el edificio comprenden completamente.
Vemos este patrón en bancos de nivel 2 y nivel 3 en tres continentes. La plataforma bancaria central que aparece en los comunicados de prensa acapara la atención. La capa de Forms por debajo procesa las transacciones.
Por qué los bancos mantuvieron Forms más tiempo que nadie
Oracle Forms se mapeaba de manera natural a cómo los bancos realmente trabajan: entrada de datos densa, validación estricta de campos, triggers WHEN-VALIDATE-ITEM que aplican redondeo regulatorio, y registros de auditoría escritos directamente en la Oracle Database. Las alternativas en 2005 eran peores. Para 2015, las pantallas habían acumulado demasiada política incrustada como para arrancarla.
Un banco comercial mediano típicamente tiene entre 300 y 900 pantallas de Forms en producción. Aproximadamente el 40% toca el libro mayor. Otro 25% está dentro del alcance de los reportes de Basilea III. El resto maneja KYC, garantías y operaciones de sucursal.
La paciencia del regulador es finita
La guía de gestión de riesgos TIC del Banco Central Europeo de 2024 puso el software en fin de vida en la agenda del directorio. La PRA del Reino Unido siguió con actualizaciones de SS2/21 que mencionan Oracle Forms explícitamente en cartas de supervisión que hemos revisado. APRA en Australia ha solicitado planes de remediación a tres de los cuatro grandes.
Ninguno de estos son plazos formales. Todos llevan el mismo mensaje: middleware sin soporte en sistemas críticos es ahora una conversación de capital. Los bancos que no pueden mostrar una ruta de migración creíble están viendo cómo las ponderaciones de riesgo operativo se mueven en la dirección equivocada.
Lo que realmente está en riesgo
La pila de WebLogic Forms se ejecuta sobre versiones de Java para las cuales Oracle dejó de emitir parches de seguridad hace años. Los contratos de soporte extendido cubren la base de datos, no la capa de presentación. Una sola vulnerabilidad de deserialización sin parchear en un servidor de Forms con acceso a las tablas del sistema bancario central es un incidente reportable bajo DORA.
Auditamos un banco donde 11 servidores de Forms estaban dentro del perímetro de alcance PCI. Ninguno había sido parcheado desde 2021. El CISO lo sabía. El directorio no.
Por qué las reescrituras siguen fracasando
Los bancos lo han intentado. El enfoque estándar, entregar el inventario de Forms a un integrador de sistemas, firmar un contrato de precio fijo a cinco años, reescribir en Java o .NET, tiene una tasa de fracaso documentada superior al 60% en servicios financieros. Hemos revisado los post-mortems.
El patrón es consistente. Las reglas de negocio dentro de 3.000 triggers nunca fueron documentadas fuera de los archivos .fmb. El integrador entregó contra una especificación que capturaba quizás el 70% del comportamiento real. El 30% restante surgió en UAT, y el cronograma colapsó.
La extracción automatizada como desbloqueador
La matemática cambia cuando los archivos .fmb se analizan directamente en un descriptor JSON estructurado. Cada trigger, LOV, relación de bloque y regla de validación se vuelve legible por máquina. Un inventario de 400 pantallas que antes tardaba 18 meses en documentar ahora tarda tres semanas.
A partir de ese descriptor, las aplicaciones modernas en TypeScript pueden generarse, revisarse y regenerarse a medida que el negocio evoluciona. El banco conserva el comportamiento. Los auditores conservan la evidencia. El CIO deja de pagar por licencias de runtime de Forms.
La transición que nadie quiere planificar
La banca central no tolera migraciones de golpe. La arquitectura que funciona ejecuta la nueva capa TypeScript y la capa legada de Forms contra la misma Oracle Database, a través de una frontera REST API, durante el tiempo que tome completar dos cierres de fin de trimestre completos. Hemos visto operaciones en paralelo tan cortas como seis semanas y tan largas como nueve meses. Ambas fueron exitosas. Ninguna fue opcional.
La fecha límite de la que nadie habla
Los bancos tienen quizás 36 meses antes de que la postura regulatoria se endurezca de orientación a aplicación. Los que comiencen ahora harán la transición bajo su propio cronograma. Los que esperen harán la transición bajo el cronograma de otro.
Oracle Forms construyó los sistemas que liquidan su hipoteca y asientan su bono corporativo. No tiene que ejecutarlos para siempre.