Qual será o impacto de não executar o comando composer update quando o arquivo composer.lock estiver presente no projeto?

O ficheiro composer.lock regista versões específicas das dependências que foram instaladas na última execução de composer update. Se não executar composer update e simplesmente executar composer install, então:

• As dependências serão instaladas exatamente nas versões indicadas em composer.lock.
• Novas versões de pacotes lançadas após a criação de composer.lock não serão instaladas.
• Isto garante a estabilidade e a reprodutibilidade da construção do projeto.

Assim, não executar composer update não levará à atualização das dependências, o que pode ser uma vantagem (estabilidade) ou uma desvantagem (falta de atualizações e correções).